1. 问题背景与现象分析
最近在给客户部署监控系统时，需要为Prometheus创建专用的MySQL账户。执行CREATE USER命令时遇到了ERROR 1819错误，提示密码不符合当前策略要求。这个错误看似简单，但背后涉及MySQL的安全机制，值得深入探讨。
MySQL从5.7版本开始引入了密码验证插件validate_password，这是数据库安全的重要防线。当出现这个错误时，说明系统已经启用了密码强度检查，而用户设置的密码未能满足预设的安全标准。这种情况常见于以下几种场景：
- 新安装的MySQL 5.7+或MariaDB 10.3+环境
- 从旧版本升级后首次修改密码
- 企业环境中DBA启用了严格的密码策略
2. 密码策略深度解析
2.1 策略参数详解
执行SHOW VARIABLES LIKE 'validate_password%'命令后，我们会看到一组关键参数：
+-------------------------------------------------+--------+ | Variable_name | Value | +-------------------------------------------------+--------+ | validate_password.check_user_name | ON | | validate_password.length | 8 | | validate_password.mixed_case_count | 1 | | validate_password.number_count | 1 | | validate_password.policy | MEDIUM | | validate_password.special_char_count | 1 | +-------------------------------------------------+--------+各参数含义如下：
policy：策略级别（LOW/MEDIUM/STRONG）
- LOW：只检查长度
- MEDIUM：检查长度+数字+大小写+特殊字符
- STRONG：在MEDIUM基础上增加字典文件检查
length：密码最小长度（默认8）
mixed_case_count：至少需要的大小写字母数量
number_count：至少需要的数字数量
special_char_count：至少需要的特殊字符数量
check_user_name：是否禁止密码包含用户名
2.2 密码强度计算规则
MySQL实际验证密码时会执行以下检查（以MEDIUM策略为例）：
- 长度 ≥ validate_password.length
- 大写字母数 ≥ mixed_case_count
- 小写字母数 ≥ mixed_case_count
- 数字数 ≥ number_count
- 特殊字符数 ≥ special_char_count
- 不包含用户名（当check_user_name=ON时）
注意：这些检查是"与"的关系，必须全部满足才会通过验证。
3. 解决方案实践指南
3.1 方案一：设置合规密码（推荐）
这是最安全的做法。根据上述策略要求，我们可以构造符合规范的密码：
- 长度达标：至少8位，建议12位以上
- 混合大小写：包含至少1个大写和1个小写字母
- 包含数字：至少1个数字
- 特殊字符：至少1个特殊符号（如!@#$%^&*）
示例密码生成公式：
[大写字母][小写字母][数字][特殊字符][其他字符] 如：Aa1!bcdefg实际操作：
CREATE USER 'prometheus'@'%' IDENTIFIED BY 'Monitor@2023';3.2 方案二：临时调整密码策略
在开发环境或特定场景下，可以适当降低策略要求：
-- 设置策略级别为LOW SET GLOBAL validate_password.policy = LOW; -- 修改最小长度要求 SET GLOBAL validate_password.length = 6; -- 禁用用户名检查 SET GLOBAL validate_password.check_user_name = OFF;重要提示：生产环境不建议降低安全标准，这些设置重启后会失效，如需永久生效需修改my.cnf配置文件。
3.3 方案三：禁用密码验证插件
极端情况下可以完全禁用插件（不推荐）：
UNINSTALL PLUGIN validate_password;或者启动时在配置文件中禁用：
[mysqld] validate_password=OFF4. 生产环境最佳实践
4.1 密码策略配置建议
对于生产环境，推荐采用以下配置：
SET GLOBAL validate_password.policy = STRONG; SET GLOBAL validate_password.length = 12; SET GLOBAL validate_password.mixed_case_count = 2; SET GLOBAL validate_password.number_count = 2; SET GLOBAL validate_password.special_char_count = 1; SET GLOBAL validate_password.check_user_name = ON;4.2 密码管理技巧
使用密码生成器：避免人工设置弱密码
# Linux系统可以使用以下命令生成随机密码 openssl rand -base64 16 | tr -dc 'a-zA-Z0-9!@#$%^&*'密码存储策略：
- 不要将密码硬编码在脚本中
- 使用配置管理工具加密存储
- 定期轮换密码
连接测试方法：
mysql -u prometheus -p'Monitor@2023' -e "SHOW DATABASES;"
5. 常见问题排查
5.1 插件未加载问题
如果执行策略查询无结果，可能是插件未安装：
-- 检查插件状态 SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME = 'validate_password'; -- 安装插件（MySQL 5.7+） INSTALL PLUGIN validate_password SONAME 'validate_password.so';5.2 特殊字符转义问题
密码包含特殊字符时需要注意转义：
-- 密码中包含单引号时需要转义 CREATE USER 'user'@'%' IDENTIFIED BY 'Pass\'w0rd!';5.3 权限不足问题
修改全局变量需要SUPER权限：
-- 检查当前权限 SHOW GRANTS; -- 授权示例 GRANT SUPER ON *.* TO 'admin'@'%';6. 进阶配置与原理
6.1 永久生效配置
在my.cnf中添加：
[mysqld] plugin-load-add=validate_password.so validate_password.policy=STRONG validate_password.length=12 validate_password.mixed_case_count=2 validate_password.number_count=2 validate_password.special_char_count=16.2 字典文件配置
STRONG策略下可以使用字典文件：
创建字典文件
echo -e "password\n123456\nqwerty" > /etc/mysql/mysql-password-dictionary.txt配置MySQL
SET GLOBAL validate_password.dictionary_file = '/etc/mysql/mysql-password-dictionary.txt';
6.3 密码强度评分机制
MySQL内部使用以下规则评分：
- 基础分：长度分数（每字符1分）
- 加分项：大小写混合(+10)、数字(+10)、特殊字符(+10)
- 减分项：纯数字(-10)、纯字母(-10)、包含用户名(-20)
密码需达到当前策略要求的最低分数才能通过。
