最安全的mysql容器密码设置方式是首次启动时通过mysql_root_password环境变量初始化，且数据目录必须为空、不可与mysql_allow_empty_password共存；改密须用alter user显式指定caching_sha2_password插件并刷新权限；严禁使用skip-grant-tables；密码应通过mysql_root_password_file或secrets管理，杜绝明文泄露。
启动时用 MYSQL_ROOT_PASSWORD 设置密码最安全
容器第一次初始化数据库时，MYSQL_ROOT_PASSWORD 环境变量会自动创建带密码的 root 用户，并跳过空密码风险。这是唯一推荐的初始设密方式。
必须确保容器数据目录（/var/lib/mysql）为空，否则该变量被完全忽略；也不能同时设置 MYSQL_ALLOW_EMPTY_PASSWORD=yes，否则密码会被跳过。
- 命令中必须写全
-e MYSQL_ROOT_PASSWORD=YourPass123!，不能只写-e MYSQL_ROOT_PASSWORD - 密码需满足 MySQL 8.0+ 默认策略（如长度 ≥ 8、含大小写字母+数字+特殊字符），否则初始化失败并报错
Failed to set password for user 'root' - 若用
docker-compose.yml，环境变量值不要裸写在 YAML 中，应通过.env文件或MYSQL_ROOT_PASSWORD_FILE引用文件路径，避免泄露到版本库
已运行容器改密码必须用 ALTER USER + 显式插件声明
MySQL 8.0+ 默认认证插件是 caching_sha2_password，而旧版客户端（如某些 GUI 工具或老版本 MySQL CLI）可能不兼容，直接执行 ALTER USER 'root'@'%' IDENTIFIED BY 'xxx' 会导致连接失败但无明确提示。
必须显式指定插件名，并覆盖 localhost 和 % 两个 host，否则远程连接仍可能因权限不足被拒绝。
- 先执行：
ALTER USER 'root'@'localhost' IDENTIFIED WITH caching_sha2_password BY 'NewPass456!'; - 再执行：
ALTER USER 'root'@'%' IDENTIFIED WITH caching_sha2_password BY 'NewPass456!'; - 最后必须执行：
FLUSH PRIVILEGES;，否则新密码不生效（尤其在未重启容器时） - 如果遇到
Access denied for user 'root'@'172.17.0.1'，大概率是只改了localhost而没改%，或插件不匹配
避免用 skip-grant-tables 重置密码
网上很多教程教你在 my.cnf 里加 skip-grant-tables 再重启容器来绕过密码验证——这在 Docker 场景下极不安全且容易失败。
原因有三：一是该配置会禁用所有权限检查，容器运行期间任何能连上 MySQL 的人都可任意操作；二是官方镜像的 entrypoint 脚本可能忽略自定义 my.cnf 中的该选项；三是修改配置后必须精确控制容器重启时机，否则初始化逻辑冲突导致数据库损坏。
- 真正安全的做法是：停掉容器 → 用
docker run --rm -v mysql_data:/var/lib/mysql mysql:8.0 --initialize-insecure临时初始化 → 再以正常方式启动并立即执行ALTER USER - 更稳妥的替代方案是挂载初始化脚本到
/docker-entrypoint-initdb.d/，里面写好ALTER USER语句，仅首次启动生效 - 永远不要在生产容器里长期启用
skip-grant-tables，哪怕只有一分钟
密码不该出现在命令行或日志里
Docker 命令行中的 -e MYSQL_ROOT_PASSWORD=xxx 会被记录在 docker inspect 输出和宿主机 shell 历史中，属于明文泄露高危行为。
优先使用 MYSQL_ROOT_PASSWORD_FILE 指向一个只读文件，或用 Docker Secrets（Swarm）/K8s Secret（Kubernetes）管理。本地开发可用 .env 配合 docker-compose 的 env_file 加载。
-
MYSQL_ROOT_PASSWORD_FILE对应的文件必须存在于容器内路径（如/run/secrets/db_root_pass），且权限为0400 - 挂载文件时用
ro标志，例如：-v $(pwd)/.mysql-root-pass:/run/secrets/db_root_pass:ro - 若用
docker-compose，确保environment下不出现明文密码字段，全部由env_file或secrets注入
docker history 泄露、shell 历史残留、日志打印，任何一个环节疏忽都等于把钥匙贴在数据库门上。
