2. 密码存储：
– 不要明文存储密码：使用哈希算法存储密码
– 使用安全的哈希算法：如SHA-256
– 添加盐值：为每个密码添加随机盐值
– 定期检查密码哈希：确保密码哈希的安全性

3. 密码使用：
– 不要共享密码：避免共享数据库密码
– 不要在代码中硬编码密码：使用环境变量或配置文件
– 不要在网络上传输明文密码：使用SSL/TLS加密传输
– 不要在日志中记录密码：避免在日志中记录密码

4. 密码管理：
– 定期更换密码：建议每90天更换一次密码
– 密码重置流程：建立安全的密码重置流程
– 密码过期提醒：提前提醒用户密码即将过期
– 多因素认证：启用多因素认证，提高安全性

5. 安全审计：
– 记录密码相关操作：记录密码修改、重置等操作
– 监控密码尝试：监控失败的密码尝试
– 定期安全审计：定期检查密码策略的执行情况

2. 密码管理器：
– KeePass：开源密码管理器
– LastPass：在线密码管理器
– 1Password：商业密码管理器
– Bitwarden：开源密码管理器

3. 密码强度检查工具：
– 在线密码强度检查器：如How Secure Is My Password
– 命令行密码强度检查器：如cracklib-check

4. MySQL内置工具：
– VALIDATE_PASSWORD插件：检查密码强度
– PASSWORD()函数：生成密码哈希
– CREATE USER/ALTER USER语句：设置用户密码

5. 安全审计工具：
– MySQL Enterprise Audit：记录密码相关操作
– 第三方审计工具：如Auditd

# 工具使用建议
1. 选择合适的工具：根据业务需求和安全要求选择合适的密码管理工具
2. 集成工具：将密码管理工具集成到现有系统中
3. 培训用户：培训用户使用密码管理工具
4. 定期更新工具：及时更新密码管理工具，修复安全漏洞
5. 备份密码：备份密码管理器的数据库，防止数据丢失

# 步骤2：查看当前密码策略
# 查看当前密码策略
SHOW VARIABLES LIKE ‘validate_password%’;

# 预期输出：
+————————————–+——–+
| Variable_name | Value |
+————————————–+——–+
| validate_password.check_user_name | ON |
| validate_password.dictionary_file | |
| validate_password.length | 8 |
| validate_password.mixed_case_count | 1 |
| validate_password.number_count | 1 |
| validate_password.policy | MEDIUM |
| validate_password.special_char_count | 1 |
+————————————–+——–+

# 步骤3：修改密码策略
# 修改密码策略
SET GLOBAL validate_password.length = 12;
SET GLOBAL validate_password.policy = ‘STRONG’;
SET GLOBAL validate_password.mixed_case_count = 2;
SET GLOBAL validate_password.number_count = 2;
SET GLOBAL validate_password.special_char_count = 2;

# 步骤4：验证密码策略
# 验证密码强度
SELECT VALIDATE_PASSWORD_STRENGTH(‘WeakPassword’);
SELECT VALIDATE_PASSWORD_STRENGTH(‘StrongPassword123!’);

# 预期输出：
+————————————–+
| VALIDATE_PASSWORD_STRENGTH(‘WeakPassword’) |
+————————————–+
| 25 |
+————————————–+

+——————————————+
| VALIDATE_PASSWORD_STRENGTH(‘StrongPassword123!’) |
+——————————————+
| 100 |
+——————————————+

# 步骤5：配置密码有效期
# 配置密码有效期
SET GLOBAL default_password_lifetime = 90;

# 步骤6：配置密码重用限制
# 配置密码重用限制
SET GLOBAL password_history = 10;
SET GLOBAL password_reuse_interval = 365;

# 步骤7：持久化配置
# 将配置写入my.cnf
# vi /etc/my.cnf
[mysqld]
validate_password_length = 12
validate_password_policy = STRONG
validate_password_mixed_case_count = 2
validate_password_number_count = 2
validate_password_special_char_count = 2
default_password_lifetime = 90
password_history = 10
password_reuse_interval = 365

# 步骤2：修改用户密码
# 修改用户密码
ALTER USER ‘new_user’@’192.168.1.%’ IDENTIFIED BY ‘NewStrongPassword123!’;

# 步骤3：使用密码验证插件
# 使用caching_sha2_password插件
ALTER USER ‘new_user’@’192.168.1.%’ IDENTIFIED WITH caching_sha2_password BY ‘StrongPassword123!’;

# 步骤4：设置密码过期
# 设置密码过期
ALTER USER ‘new_user’@’192.168.1.%’ PASSWORD EXPIRE;

# 设置密码在指定时间后过期
ALTER USER ‘new_user’@’192.168.1.%’ PASSWORD EXPIRE INTERVAL 90 DAY;

# 步骤5：禁用密码过期
# 禁用密码过期
ALTER USER ‘new_user’@’192.168.1.%’ PASSWORD EXPIRE NEVER;

# 步骤6：强制用户下次登录时修改密码
# 强制用户下次登录时修改密码
ALTER USER ‘new_user’@’192.168.1.%’ PASSWORD EXPIRE DEFAULT;

# 步骤7：验证密码设置
# 验证用户密码设置
SELECT user, host, password_expired, password_last_changed FROM mysql.user WHERE user = ‘new_user’;

# 预期输出：
+———+————–+——————+———————–+
| user | host | password_expired | password_last_changed |
+———+————–+——————+———————–+
| new_user | 192.168.1.% | N | 2024-01-01 12:00:00 |
+———+————–+——————+———————–+

# 密码设置最佳实践
1. 使用强密码：包含大小写字母、数字、特殊字符
2. 定期修改密码：建议每90天修改一次密码
3. 使用安全的密码验证插件：如caching_sha2_password
4. 设置密码过期：强制用户定期修改密码
5. 禁止密码重用：限制用户使用旧密码

# 步骤2：重置root用户密码
# 方法1：使用mysqladmin
mysqladmin -u root password “NewRootPassword123!”

# 方法2：使用ALTER USER
ALTER USER ‘root’@’localhost’ IDENTIFIED BY ‘NewRootPassword123!’;

# 步骤3：忘记root密码时的重置方法
# 1. 停止MySQL服务
systemctl stop mysqld

# 2. 以跳过权限检查的方式启动MySQL
mysqld_safe –skip-grant-tables &

# 3. 登录MySQL
mysql -u root

# 4. 修改root密码
FLUSH PRIVILEGES;
ALTER USER ‘root’@’localhost’ IDENTIFIED BY ‘NewRootPassword123!’;

# 5. 重启MySQL服务
systemctl restart mysqld

# 步骤4：密码重置审计
# 记录密码重置操作
CREATE TABLE password_reset_log (
id INT AUTO_INCREMENT PRIMARY KEY,
user VARCHAR(100),
host VARCHAR(100),
reset_time TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
reset_by VARCHAR(100)
);

# 插入密码重置记录
INSERT INTO password_reset_log (user, host, reset_by) VALUES (‘app_user’, ‘192.168.1.%’, ‘admin_user’);

# 步骤5：验证密码重置
# 验证用户密码
mysql -u app_user -pNewPassword123! -h 192.168.1.100
SELECT 1;

# 密码重置最佳实践
1. 安全的密码重置流程：验证用户身份后再重置密码
2. 记录密码重置操作：记录谁在什么时间重置了密码
3. 强制密码复杂度：重置密码时要求使用强密码
4. 通知用户：密码重置后通知用户
5. 多因素认证：在密码重置过程中使用多因素认证

# 步骤2：使用MySQL Enterprise Audit
# 安装审计插件
INSTALL PLUGIN audit_log SONAME ‘audit_log.so’;

# 配置审计日志
SET GLOBAL audit_log_policy = ‘ALL’;
SET GLOBAL audit_log_file = ‘/var/log/mysql/audit.log’;

# 步骤3：创建密码审计表
# 创建密码审计表
CREATE TABLE password_audit (
id INT AUTO_INCREMENT PRIMARY KEY,
event_type VARCHAR(50),
user VARCHAR(100),
host VARCHAR(100),
event_time TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
details TEXT
);

# 步骤4：创建触发器，记录密码变更
# 创建触发器
DELIMITER //
CREATE TRIGGER audit_password_change
AFTER UPDATE ON mysql.user
FOR EACH ROW
BEGIN
IF OLD.authentication_string != NEW.authentication_string THEN
INSERT INTO password_audit (event_type, user, host, details)
VALUES (‘PASSWORD_CHANGE’, OLD.user, OLD.host, ‘Password changed’);
END IF;
END//
DELIMITER ;

# 步骤5：监控密码尝试
# 查看失败的登录尝试
SELECT * FROM mysql.general_log WHERE command_type = ‘Connect’ AND argument LIKE ‘%Access denied%’;

# 步骤6：定期审计密码策略执行情况
# 检查密码过期情况
SELECT user, host, password_expired, password_last_changed FROM mysql.user;

# 检查密码强度
SELECT user, host, authentication_string FROM mysql.user;

# 步骤7：分析密码审计日志
# 分析密码审计日志
SELECT * FROM password_audit ORDER BY event_time DESC;

# 密码审计最佳实践
1. 启用审计日志：记录密码相关的操作和事件
2. 定期分析审计日志：分析密码使用情况，发现异常行为
3. 监控密码尝试：监控失败的密码尝试，防止暴力破解
4. 检查密码策略执行情况：定期检查密码策略的执行情况
5. 安全存储审计日志：安全存储审计日志，防止篡改
6. 审计日志保留：根据合规要求保留审计日志

# 问题描述
# 需要配置强密码策略，确保用户密码的安全性

# 解决方案
## 步骤1：安装密码验证插件
# 安装validate_password插件
INSTALL PLUGIN validate_password SONAME ‘validate_password.so’;

## 步骤2：配置密码策略
# 配置密码策略
SET GLOBAL validate_password.length = 12;
SET GLOBAL validate_password.policy = ‘STRONG’;
SET GLOBAL validate_password.mixed_case_count = 2;
SET GLOBAL validate_password.number_count = 2;
SET GLOBAL validate_password.special_char_count = 2;

# 配置密码有效期
SET GLOBAL default_password_lifetime = 90;

# 配置密码重用限制
SET GLOBAL password_history = 10;
SET GLOBAL password_reuse_interval = 365;

## 步骤3：持久化配置
# 将配置写入my.cnf
# vi /etc/my.cnf
[mysqld]
validate_password_length = 12
validate_password_policy = STRONG
validate_password_mixed_case_count = 2
validate_password_number_count = 2
validate_password_special_char_count = 2
default_password_lifetime = 90
password_history = 10
password_reuse_interval = 365

## 步骤4：验证密码策略
# 验证密码强度
SELECT VALIDATE_PASSWORD_STRENGTH(‘WeakPassword’);
SELECT VALIDATE_PASSWORD_STRENGTH(‘StrongPassword123!’);

# 预期输出：
+————————————–+
| VALIDATE_PASSWORD_STRENGTH(‘WeakPassword’) |
+————————————–+
| 25 |
+————————————–+

+——————————————+
| VALIDATE_PASSWORD_STRENGTH(‘StrongPassword123!’) |
+——————————————+
| 100 |
+——————————————+

## 步骤5：测试密码策略
# 尝试创建弱密码用户（应该失败）
CREATE USER ‘weak_user’@’192.168.1.%’ IDENTIFIED BY ‘weak’;

# 预期输出：
ERROR 1819 (HY000): Your password does not satisfy the current policy requirements

# 创建强密码用户（应该成功）
CREATE USER ‘strong_user’@’192.168.1.%’ IDENTIFIED BY ‘StrongPassword123!’;

# 处理效果
# 成功配置了强密码策略
# 弱密码被拒绝
# 强密码被接受
# 密码安全性得到保障

# 问题描述
# 需要为应用用户设置强密码，并定期修改密码

# 解决方案
## 步骤1：创建应用用户并设置强密码
# 创建应用用户并设置强密码
CREATE USER ‘app_user’@’192.168.1.%’ IDENTIFIED BY ‘AppPassword123!’;

## 步骤2：使用安全的密码验证插件
# 使用caching_sha2_password插件
ALTER USER ‘app_user’@’192.168.1.%’ IDENTIFIED WITH caching_sha2_password BY ‘AppPassword123!’;

## 步骤3：设置密码过期
# 设置密码在90天后过期
ALTER USER ‘app_user’@’192.168.1.%’ PASSWORD EXPIRE INTERVAL 90 DAY;

## 步骤4：定期修改密码
# 3个月后修改密码
ALTER USER ‘app_user’@’192.168.1.%’ IDENTIFIED BY ‘NewAppPassword123!’;

## 步骤5：验证密码设置
# 验证用户密码设置
SELECT user, host, password_expired, password_last_changed, plugin FROM mysql.user WHERE user = ‘app_user’;

# 预期输出：
+———+————–+——————+———————–+———————–+
| user | host | password_expired | password_last_changed | plugin |
+———+————–+——————+———————–+———————–+
| app_user | 192.168.1.% | N | 2024-01-01 12:00:00 | caching_sha2_password |
+———+————–+——————+———————–+———————–+

## 步骤6：测试密码登录
# 测试密码登录
mysql -u app_user -pNewAppPassword123! -h 192.168.1.100
SELECT 1;

# 预期输出：
+—+
| 1 |
+—+
| 1 |
+—+

# 处理效果
# 成功为应用用户设置了强密码
# 使用了安全的密码验证插件
# 设置了密码过期时间
# 定期修改了密码
# 密码安全性得到保障

# 问题描述
# 应用用户忘记密码，需要重置密码

# 解决方案
## 步骤1：重置应用用户密码
# 重置应用用户密码
ALTER USER ‘app_user’@’192.168.1.%’ IDENTIFIED BY ‘ResetPassword123!’;

## 步骤2：记录密码重置操作
# 记录密码重置操作
INSERT INTO password_reset_log (user, host, reset_by) VALUES (‘app_user’, ‘192.168.1.%’, ‘admin_user’);

## 步骤3：强制用户下次登录时修改密码
# 强制用户下次登录时修改密码
ALTER USER ‘app_user’@’192.168.1.%’ PASSWORD EXPIRE;

## 步骤4：验证密码重置
# 验证用户密码
mysql -u app_user -pResetPassword123! -h 192.168.1.100

# 预期输出：
ERROR 1820 (HY000): You must reset your password using ALTER USER statement before executing this statement.

# 修改密码
ALTER USER ‘app_user’@’192.168.1.%’ IDENTIFIED BY ‘NewPassword123!’;

# 再次登录
mysql -u app_user -pNewPassword123! -h 192.168.1.100
SELECT 1;

# 预期输出：
+—+
| 1 |
+—+
| 1 |
+—+

## 步骤5：忘记root密码时的重置方法
# 1. 停止MySQL服务
systemctl stop mysqld

# 2. 以跳过权限检查的方式启动MySQL
mysqld_safe –skip-grant-tables &

# 3. 登录MySQL
mysql -u root

# 4. 修改root密码
FLUSH PRIVILEGES;
ALTER USER ‘root’@’localhost’ IDENTIFIED BY ‘NewRootPassword123!’;

# 5. 重启MySQL服务
systemctl restart mysqld

# 6. 验证root密码
mysql -u root -pNewRootPassword123!
SELECT 1;

# 预期输出：
+—+
| 1 |
+—+
| 1 |
+—+

# 处理效果
# 成功重置了应用用户密码
# 记录了密码重置操作
# 强制用户下次登录时修改密码
# 成功重置了root密码
# 密码安全性得到保障

# 问题描述
# 需要建立密码审计系统，记录密码相关的操作和事件

# 解决方案
## 步骤1：创建密码审计表
# 创建密码审计表
CREATE TABLE password_audit (
id INT AUTO_INCREMENT PRIMARY KEY,
event_type VARCHAR(50),
user VARCHAR(100),
host VARCHAR(100),
event_time TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
details TEXT
);

## 步骤2：创建触发器，记录密码变更
# 创建触发器
DELIMITER //
CREATE TRIGGER audit_password_change
AFTER UPDATE ON mysql.user
FOR EACH ROW
BEGIN
IF OLD.authentication_string != NEW.authentication_string THEN
INSERT INTO password_audit (event_type, user, host, details)
VALUES (‘PASSWORD_CHANGE’, OLD.user, OLD.host, ‘Password changed’);
END IF;
END//
DELIMITER ;

## 步骤3：启用审计日志
# 启用通用查询日志
# vi /etc/my.cnf
[mysqld]
general_log = 1
general_log_file = /var/log/mysql/general.log

## 步骤4：监控密码尝试
# 查看失败的登录尝试
SELECT * FROM mysql.general_log WHERE command_type = ‘Connect’ AND argument LIKE ‘%Access denied%’;

## 步骤5：定期审计密码策略执行情况
# 检查密码过期情况
SELECT user, host, password_expired, password_last_changed FROM mysql.user;

## 步骤6：分析密码审计日志
# 分析密码审计日志
SELECT * FROM password_audit ORDER BY event_time DESC;

## 步骤7：设置定期审计任务
# 创建事件，定期审计密码情况
CREATE EVENT IF NOT EXISTS `audit_password_status`
ON SCHEDULE EVERY 1 DAY
DO
BEGIN
INSERT INTO password_audit (event_type, details)
VALUES (‘PASSWORD_AUDIT’, ‘Daily password audit’);
END;

# 处理效果
# 成功建立了密码审计系统
# 记录了密码相关的操作和事件
# 监控了失败的密码尝试
# 定期审计了密码策略执行情况
# 提高了密码管理的安全性