MD5(RAND())生成的是固定长度哈希值而非随机密码，因RAND()在单条SQL中具确定性；可靠做法是用SUBSTRING+RAND()从字符集逐位抽取，或用CTE递归生成。
MD5(RAND()) 生成的不是随机密码，而是固定长度哈希值
很多人以为 MD5(RAND()) 能直接产出“随机密码”，其实不然：RAND() 返回的是 0 到 1 之间的浮点数（如 0.123456789），MD5() 对它哈希后每次结果都稳定——因为 RAND() 在单条 SQL 中是**确定性计算**，不会真正“随机”。更糟的是，MD5('0.123456789') 总是同一个 32 位十六进制串，毫无密码学意义。
真正可用的做法是：用 RAND() 驱动字符索引，从预设字符集中逐位抽取。例如：
SELECT SUBSTRING('abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789', FLOOR(RAND() * 62) + 1, 1);
这才是可控、可扩展的随机字符生成逻辑。
SUBSTRING + RAND() 拼接多位字符时必须避免重复调用 RAND()
写成 SUBSTRING(..., FLOOR(RAND()*62)+1, 1) + SUBSTRING(..., FLOOR(RAND()*62)+1, 1) 看似自然，但 MySQL 会为每个 RAND() 单独求值——这本身没错，但若在子查询或 UPDATE 中反复引用同一表达式，可能因执行计划优化导致意外复用（尤其在旧版本）。更稳妥的方式是用派生表或 CTE 固化随机序列。
生成 10 位密码的可靠写法（MySQL 8.0+）：
MD5
- 字符集越长越好，至少 62 字符（大小写字母+数字），建议加入
!@#$%^&*提升强度 - 长度别低于 12 位，
RAND()的周期限制下，短密码易被穷举 - 避免在触发器或存储过程中高频调用——
RAND()在某些并发场景下可能返回相同序列
真正难的不是拼出那串字符，而是让每一步都不可预测、不可复现、不可推导。
