MySQL密码策略解析与ERROR 1819解决方案

1. 问题背景与现象分析

最近在给客户部署监控系统时，需要为Prometheus创建专用的MySQL账户。执行CREATE USER命令时遇到了ERROR 1819错误，提示密码不符合当前策略要求。这个错误看似简单，但背后涉及MySQL的安全机制，值得深入探讨。

MySQL从5.7版本开始引入了密码验证插件validate_password，这是数据库安全的重要防线。当出现这个错误时，说明系统已经启用了密码强度检查，而用户设置的密码未能满足预设的安全标准。这种情况常见于以下几种场景：

• 新安装的MySQL 5.7+或MariaDB 10.3+环境
• 从旧版本升级后首次修改密码
• 企业环境中DBA启用了严格的密码策略

2. 密码策略深度解析

2.1 策略参数详解

执行SHOW VARIABLES LIKE 'validate_password%'命令后，我们会看到一组关键参数：

+-------------------------------------------------+--------+ | Variable_name | Value | +-------------------------------------------------+--------+ | validate_password.check_user_name | ON | | validate_password.length | 8 | | validate_password.mixed_case_count | 1 | | validate_password.number_count | 1 | | validate_password.policy | MEDIUM | | validate_password.special_char_count | 1 | +-------------------------------------------------+--------+

各参数含义如下：

1. policy：策略级别（LOW/MEDIUM/STRONG）

   • LOW：只检查长度
   • MEDIUM：检查长度+数字+大小写+特殊字符
   • STRONG：在MEDIUM基础上增加字典文件检查

2. length：密码最小长度（默认8）

3. mixed_case_count：至少需要的大小写字母数量

4. number_count：至少需要的数字数量

5. special_char_count：至少需要的特殊字符数量

6. check_user_name：是否禁止密码包含用户名

2.2 密码强度计算规则

MySQL实际验证密码时会执行以下检查（以MEDIUM策略为例）：

1. 长度 ≥ validate_password.length
2. 大写字母数 ≥ mixed_case_count
3. 小写字母数 ≥ mixed_case_count
4. 数字数 ≥ number_count
5. 特殊字符数 ≥ special_char_count
6. 不包含用户名（当check_user_name=ON时）

注意：这些检查是"与"的关系，必须全部满足才会通过验证。

3. 解决方案实践指南

3.1 方案一：设置合规密码（推荐）

这是最安全的做法。根据上述策略要求，我们可以构造符合规范的密码：

1. 长度达标：至少8位，建议12位以上
2. 混合大小写：包含至少1个大写和1个小写字母
3. 包含数字：至少1个数字
4. 特殊字符：至少1个特殊符号（如!@#$%^&*）

示例密码生成公式：

[大写字母][小写字母][数字][特殊字符][其他字符] 如：Aa1!bcdefg

实际操作：

CREATE USER 'prometheus'@'%' IDENTIFIED BY 'Monitor@2023';

3.2 方案二：临时调整密码策略

在开发环境或特定场景下，可以适当降低策略要求：

-- 设置策略级别为LOW SET GLOBAL validate_password.policy = LOW; -- 修改最小长度要求 SET GLOBAL validate_password.length = 6; -- 禁用用户名检查 SET GLOBAL validate_password.check_user_name = OFF;

重要提示：生产环境不建议降低安全标准，这些设置重启后会失效，如需永久生效需修改my.cnf配置文件。

3.3 方案三：禁用密码验证插件

极端情况下可以完全禁用插件（不推荐）：

UNINSTALL PLUGIN validate_password;

或者启动时在配置文件中禁用：

[mysqld] validate_password=OFF

4. 生产环境最佳实践

4.1 密码策略配置建议

对于生产环境，推荐采用以下配置：

SET GLOBAL validate_password.policy = STRONG; SET GLOBAL validate_password.length = 12; SET GLOBAL validate_password.mixed_case_count = 2; SET GLOBAL validate_password.number_count = 2; SET GLOBAL validate_password.special_char_count = 1; SET GLOBAL validate_password.check_user_name = ON;

4.2 密码管理技巧

1. 使用密码生成器：避免人工设置弱密码

   # Linux系统可以使用以下命令生成随机密码 openssl rand -base64 16 | tr -dc 'a-zA-Z0-9!@#$%^&*'

2. 密码存储策略：

   • 不要将密码硬编码在脚本中
   • 使用配置管理工具加密存储
   • 定期轮换密码

3. 连接测试方法：

   mysql -u prometheus -p'Monitor@2023' -e "SHOW DATABASES;"

5. 常见问题排查

5.1 插件未加载问题

如果执行策略查询无结果，可能是插件未安装：

-- 检查插件状态 SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME = 'validate_password'; -- 安装插件（MySQL 5.7+） INSTALL PLUGIN validate_password SONAME 'validate_password.so';

5.2 特殊字符转义问题

密码包含特殊字符时需要注意转义：

-- 密码中包含单引号时需要转义 CREATE USER 'user'@'%' IDENTIFIED BY 'Pass\'w0rd!';

5.3 权限不足问题

修改全局变量需要SUPER权限：

-- 检查当前权限 SHOW GRANTS; -- 授权示例 GRANT SUPER ON *.* TO 'admin'@'%';

6. 进阶配置与原理

6.1 永久生效配置

在my.cnf中添加：

[mysqld] plugin-load-add=validate_password.so validate_password.policy=STRONG validate_password.length=12 validate_password.mixed_case_count=2 validate_password.number_count=2 validate_password.special_char_count=1

6.2 字典文件配置

STRONG策略下可以使用字典文件：

1. 创建字典文件

   echo -e "password\n123456\nqwerty" > /etc/mysql/mysql-password-dictionary.txt

2. 配置MySQL

   SET GLOBAL validate_password.dictionary_file = '/etc/mysql/mysql-password-dictionary.txt';

6.3 密码强度评分机制

MySQL内部使用以下规则评分：

• 基础分：长度分数（每字符1分）
• 加分项：大小写混合(+10)、数字(+10)、特殊字符(+10)
• 减分项：纯数字(-10)、纯字母(-10)、包含用户名(-20)

密码需达到当前策略要求的最低分数才能通过。