1.1 适用场景#

以下两种场景适用本指南的方法：

忘记 MySQL root 密码，无法通过正常方式登录

长期未使用的 MySQL 实例，root 密码已遗忘，且没有其他具有管理员权限的数据库账户可用。这是最常见的触发场景。

接手他人部署的 MySQL 实例但未获得密码

运维交接时未完整移交凭据，或接管遗留系统后发现文档缺失。此时需要通过操作系统层面的特权绕过 MySQL 权限验证来重置密码。

1.2 不适用场景#

以下场景请勿直接套用本指南，需参考对应版本的差异调整：

MySQL 5.7 及更早版本

MySQL 5.7.x 及之前版本中，存储密码哈希的字段名为 password 而非 8.0 的 authentication_string，且重置密码需使用 PASSWORD() 函数而非 ALTER USER 语句。直接套用本指南的命令会导致语法错误或修改无效。差异速查见附录 8.1。

Linux / macOS 系统

本指南的服务管理命令基于 Windows 的 net、sc、services.msc 及 --shared-memory 参数。Linux 下使用 systemctl 管理服务，配置文件路径为 /etc/my.cnf 或 /etc/mysql/mysql.conf.d/，连接方式可选用 Unix Socket 配合 --skip-networking。macOS 下的 Homebrew 安装路径和启动方式亦不同。

1.3 核心风险#

以下风险可能导致数据丢失、安全漏洞或服务不可用，操作前务必逐条确认：

--skip-grant-tables 的安全敞口

该参数会让 MySQL 完全跳过所有权限检查。在此期间，任何能够访问 MySQL 端口（默认 3306）的用户都可以无密码、以任意身份（包括 root）登录数据库，执行任意 SQL 语句。这是重置密码的必要代价，但必须通过 --shared-memory 参数将敞口控制在最小范围。

--shared-memory 不可省略

--shared-memory 参数强制 MySQL 仅通过 Windows 共享内存协议接受本地连接，不监听 TCP/IP 端口（3306）。这意味着只有当前物理主机的进程可以连接 MySQL。如果在安全模式下省略此参数，MySQL 会正常监听 3306 端口，局域网内任何主机都可能探测并连接。

误操作 mysql.user 表

直接执行 UPDATE mysql.user SET ... 时如果 WHERE 条件写错，可能修改所有用户的认证信息，导致全部数据库账户无法登录。始终使用 ALTER USER 语句操作特定用户，它比直接修改表更安全。

操作前必须备份 MySQL 数据目录

安全模式下文件系统层级的意外操作（如误删文件、系统崩溃）可能损坏 InnoDB 表空间。操作前必须完整复制 Data 目录。

2.1 确认 MySQL 版本和服务名称#

在开始操作前，先确认版本号（必须是 8.0.x）和 Windows 服务名称。

确认版本：

1
mysql --version

预期输出类似 mysql Ver 8.0.35 for Win64 on x86_64。如果输出显示 5.7.x，请改用适用于 5.7 的方法（见附录 8.1）。

确认 Windows 服务名称：

1
sc query state= all | findstr /i mysql

输出示例：

1
SERVICE_NAME: MySQL80
2
DISPLAY_NAME: MySQL80

记下 SERVICE_NAME（通常是 MySQL80），后续所有 net stop / net start 命令都需要用到它。

注意：sc query 中 state= 后面的空格是必需的，不可省略。这是 sc 命令的语法要求，state 是参数名，= 后跟参数值（all），缺少空格会导致命令解析失败。

2.2 找到配置文件路径#

MySQL 在 Windows 上的配置文件通常是 my.ini，常见路径为 C:\ProgramData\MySQL\MySQL Server 8.0\my.ini。

可通过以下方式精确确认路径：

方法一：查看服务属性中的 --defaults-file 参数

1
sc qc MySQL80

在输出中查找 BINARY_PATH_NAME 字段，其中会包含 --defaults-file="C:\ProgramData\MySQL\MySQL Server 8.0\my.ini" 类似的字符串。这就是 MySQL 服务启动时使用的配置文件完整路径。

方法二：直接查找默认路径

如果 sc qc 未显示 --defaults-file 参数，MySQL 会按以下优先级搜索配置文件：

1. %PROGRAMDATA%\MySQL\MySQL Server 8.0\my.ini
2. %WINDIR%\my.ini
3. C:\my.ini

绝大多数安装情况下，配置文件位于 C:\ProgramData\MySQL\MySQL Server 8.0\my.ini。

找到 my.ini 后，打开确认其中的关键配置项：

• datadir：数据目录路径，如 C:/ProgramData/MySQL/MySQL Server 8.0/Data/
• port：端口号，默认 3306

2.3 备份 MySQL 数据目录#

备份是操作前最关键的安全措施。如果安全模式下发生意外（误操作、系统崩溃、文件损坏），备份是唯一的恢复手段。

步骤一：停止 MySQL 服务

1
net stop MySQL80

用 sc query MySQL80 确认状态为 STOPPED 后再继续。

步骤二：复制 Data 目录

1
xcopy "C:\ProgramData\MySQL\MySQL Server 8.0\Data" "D:\Backup\MySQL_Data_Backup_20260516" /E /I /H /O

参数说明：

• /E：复制所有子目录（包括空目录）
• /I：如果目标不存在则视为目录
• /H：包括隐藏文件和系统文件
• /O：保留文件的所有权和 ACL 信息

最低限度备份：如果磁盘空间紧张，至少备份 Data\mysql 子目录。该目录存放着 user、db、tables_priv 等权限系统表，是密码重置操作直接涉及的文件。备份命令可简化为：

1
xcopy "C:\ProgramData\MySQL\MySQL Server 8.0\Data\mysql" "D:\Backup\mysql_backup" /E /I /H

强烈建议完整备份。仅备份 mysql 子目录无法保护业务数据库（InnoDB 表空间）在安全模式期间免受文件系统层面的意外损坏。

3.1 使用管理员权限的终端#

后续所有命令都需要管理员权限，因为涉及 Windows 服务的启停。

以管理员身份运行 cmd 或 PowerShell：

1. 按 Win + X，选择”终端（管理员）“或”Windows PowerShell（管理员）”
2. 在弹出的 UAC 确认框中点击”是”
3. 确认窗口标题栏显示”管理员”字样

3.2 停止服务#

1
net stop MySQL80

如果服务名称不是 MySQL80，替换为第 2.1 步中确认的实际名称。

正常输出：

1
MySQL80 服务正在停止.
2
MySQL80 服务已成功停止。

备用方案：通过 services.msc 图形界面停止

如果 net stop 命令报错”拒绝访问”（通常是因为未以管理员身份运行终端），可以改用图形界面：

1. Win + R，输入 services.msc，回车
2. 在服务列表中找到 MySQL80
3. 右键 → 停止

验证服务已停止

1
sc query MySQL80 | findstr STATE

预期输出：

1
STATE              : 1  STOPPED

只有在确认服务状态为 STOPPED 后，才能进行下一步。如果服务未停止，安全模式启动会因端口或文件锁冲突而失败。

4.1 安全模式命令#

在管理员终端中执行以下命令（注意：这是一个前台运行命令，执行后会一直占用当前终端窗口）：

1
"C:\Program Files\MySQL\MySQL Server 8.0\bin\mysqld.exe" --defaults-file="C:\ProgramData\MySQL\MySQL Server 8.0\my.ini" --console --skip-grant-tables --shared-memory

根据实际安装路径和配置文件路径调整 mysqld.exe 和 --defaults-file 的值。典型安装路径为 C:\Program Files\MySQL\MySQL Server 8.0\bin\mysqld.exe。

执行后，终端会输出 InnoDB 恢复、缓冲池初始化等启动日志。最后一行应类似：

1
Version: '8.0.35'  socket: ''  port: 0  MySQL Community Server (GPL)

注意 port: 0 —— 这表明 --shared-memory 已生效，MySQL 未监听任何 TCP 端口，仅接受本地共享内存连接。

如果没有出现启动日志而是直接报错，跳到第 7 章排查。

4.2 参数说明#

--skip-grant-tables

核心参数。指示 MySQL 启动时不加载权限表（mysql.user、mysql.db 等），所有连接请求的权限检查直接返回”允许”。这意味着任何人都能以任意用户名登录，拥有对所有数据库的全部操作权限。这是重置忘记的 root 密码所必需的机制，但也带来了安全风险——见 4.3 节的安全警告。

--shared-memory

安全限制参数。强制 MySQL 仅使用 Windows 共享内存协议（shared_memory），不监听 TCP/IP 端口。效果是只有运行在本机的客户端通过 --protocol=shared-memory 或 --protocol=memory 才能连接。局域网或互联网上的远程主机完全无法触及该实例。这是限制 --skip-grant-tables 安全敞口的关键措施。

--console

日志输出参数。将 MySQL 的日志输出到当前终端窗口（stdout），而不是写入错误日志文件。这样你可以在前台直接观察启动过程是否正常，排查 InnoDB 恢复、缓冲池初始化等阶段的潜在问题。日志输出也是判断安全模式进程是否仍在运行的直观信号。

4.3 安全警告#

在执行密码重置的全部步骤完成之前，不要关闭此终端窗口。关闭窗口等同于杀死安全模式进程。

在此期间的安全状态：

• 任何能够登录此 Windows 主机的用户（RDP、物理访问、远程 PowerShell 等），都可以通过 mysql -u root 无密码连接到数据库，执行任意操作。
• --shared-memory 确保只有本机连接是可能的，但不限制本机用户的身份。如果你在一个多人共用的 Windows Server 上操作，需确保在操作期间没有不受信任的用户登录此服务器。
• 建议在安全模式窗口打开后尽快完成第 5 章的密码重置步骤，缩短安全敞口时间。典型操作用时不超过 2 分钟。

5.1 另开一个新的管理员终端#

保持安全模式终端窗口打开，再以管理员身份打开一个新的 cmd 或 PowerShell 窗口。

使用共享内存协议无密码连接：

1
mysql -u root

如果连接成功，会直接进入 MySQL 命令行提示符 mysql>，无需输入密码。

安全模式下 MySQL 不检查密码，输入任意密码或不输入密码都可以登录。直接回车是最快的连接方式。

5.2 在同一会话中完成密码重置#

在 mysql> 提示符下，按顺序执行以下三条命令：

1
FLUSH PRIVILEGES;
2
ALTER USER 'root'@'localhost' IDENTIFIED BY 'YourNewPassword123!';
3
EXIT;

按顺序执行，每一步确认成功后再执行下一步。

FLUSH PRIVILEGES 的正常输出：

1
Query OK, 0 rows affected (0.01 sec)

ALTER USER 的正常输出：

1
Query OK, 0 rows affected (0.01 sec)

5.3 关键说明#

为什么必须先 FLUSH PRIVILEGES

在 --skip-grant-tables 模式下，MySQL 将权限表的内存副本标记为”不可用”，所有权限检查均跳过。此时执行 ALTER USER 会报错，因为 ALTER USER 命令内部需要访问权限表来验证当前连接是否有修改用户的权限。FLUSH PRIVILEGES 命令强制从磁盘重新加载权限表到内存，恢复权限系统的正常运转。加载完成后，当前连接以 root 无密码方式建立的会话仍然有效（因为连接已建立），但此时可以在会话中正常执行 ALTER USER 了。

密码强度要求

MySQL 8.0 默认启用 validate_password 组件，密码必须满足以下策略要求：

• 至少 8 位字符
• 包含大写字母
• 包含小写字母
• 包含数字
• 包含至少一个特殊字符（如 !@#$%^&*）

示例合规密码：N3w!SecureP@ss

如果 ALTER USER 命令报类似 Your password does not satisfy the current policy requirements 的错误，说明密码不符合强度要求，需要更换一个更复杂的密码。不建议为了临时方便而降低密码策略级别。

6.1 终止安全模式进程#

回到第 4 章打开的安全模式终端窗口（正在运行 mysqld.exe 的那个窗口），按 Ctrl + C，MySQL 会收到 SIGINT 信号并执行干净关闭。

日志中应出现：

1
Normal shutdown
2
...
3
mysqld.exe: Shutdown complete

关闭完成后，安全模式终端窗口可以关闭。

备用方案：手动终止进程

如果 Ctrl + C 无响应（极少发生），可在另一个管理员终端中强制终止：

1
taskkill /f /im mysqld.exe

/f 参数强制终止，MySQL 不会执行干净关闭，但数据通常不会损坏。如需使用此方法，建议之后检查 MySQL 错误日志确认下次启动时 InnoDB 恢复是否正常。

确认进程已终止

1
tasklist | findstr mysqld

该命令应无任何输出（表示没有 mysqld.exe 进程在运行）。如果有残留进程，等待 10 秒后再次检查，或使用 taskkill /f /im mysqld.exe 强制终止。

6.2 以正常模式启动 MySQL 服务#

1
net start MySQL80

正常输出：

1
MySQL80 服务正在启动 .
2
MySQL80 服务已经启动成功。

验证服务状态：

1
sc query MySQL80 | findstr STATE

预期输出：

1
STATE              : 4  RUNNING

如果启动失败（报错 1067 或其他），跳到第 7 章排查。

6.3 用新密码验证登录#

1
mysql -u root -p

系统提示 Enter password:，输入第 5.2 步设置的新密码。确认能成功进入 MySQL 命令行提示符 mysql>。

进入后建议执行一条无害命令确认权限正常：

1
SELECT User, Host, plugin FROM mysql.user WHERE User='root';

预期输出会列出所有 root 用户行及其认证插件（通常为 caching_sha2_password）。如果能正常显示查询结果，说明 root 权限完全恢复。

验证完成后执行 EXIT; 退出。

服务启动失败：错误 1067（进程意外终止）#

这是 Windows 上 MySQL 服务启动失败的最常见错误码，涵盖多种根因。

原因一：Data 目录权限问题

MySQL 的 Windows 服务默认以 NETWORK SERVICE 账户运行，该账户必须具备对 Data 目录的完全控制权限。

检查与修复：

1. 在文件资源管理器中导航到 Data 目录（通常为 C:\ProgramData\MySQL\MySQL Server 8.0\Data）
2. 右键 → 属性 → 安全
3. 确认 NETWORK SERVICE 在组或用户名列表中
4. 如果不存在，点击编辑 → 添加 → 输入 NETWORK SERVICE → 检查名称 → 确定
5. 选中 NETWORK SERVICE，在权限列表中勾选”完全控制”→ 确定

原因二：my.ini 配置错误

检查 my.ini 中的 datadir 路径是否与实际 Data 目录位置一致。路径中的反斜杠应使用 / 或双反斜杠 \\：

1
# 正确写法
2
datadir=C:/ProgramData/MySQL/MySQL Server 8.0/Data
3

4
# 或
5
datadir=C:\\ProgramData\\MySQL\\MySQL Server 8.0\\Data
6

7
# 错误写法（单反斜杠会被解释为转义字符）
8
datadir=C:\ProgramData\MySQL\MySQL Server 8.0\Data

确认 basedir 指向 MySQL 安装目录。如果不确定，可以暂时注释掉基于 datadir 之外的其他自定义配置项，启动成功后再逐一排查。

服务启动失败：端口占用#

原因：安全模式进程未完全终止

如果第 6.1 步中安全模式进程未正确终止，3306 端口仍被占用，正常模式的服务启动会因端口冲突而失败。

检查端口占用：

1
netstat -ano | findstr :3306

如果有输出，记下最后一列的 PID（进程 ID），然后查找进程名：

1
tasklist | findstr <PID>

如果占用端口的是 mysqld.exe，说明安全模式进程未退出：

1
taskkill /f /im mysqld.exe

等待几秒，确认端口释放后重新执行 net start MySQL80。

ALTER USER 报错#

原因：未先执行 FLUSH PRIVILEGES

这是最常见的操作顺序错误。--skip-grant-tables 模式下，权限表未加载到内存中，ALTER USER 命令无法执行权限检查因此失败。

典型错误信息：

1
ERROR 1290 (HY000): The MySQL server is running with the --skip-grant-tables option so it cannot execute this statement

解决：在 mysql> 提示符下先执行 FLUSH PRIVILEGES;，待提示 Query OK 后，再执行 ALTER USER。

认证插件不兼容#

原因：root 用户的 plugin 字段可能被设置为 auth_socket

auth_socket 插件在 Unix/Linux 下要求操作系统用户名与数据库用户名匹配才能登录。Windows 通常不使用此插件，但如果数据库是从 Linux 环境迁移过来的，或曾被手动修改过，可能出现此问题。

检查当前认证插件：

1
SELECT User, Host, plugin FROM mysql.user WHERE User='root';

如果 plugin 列为 auth_socket，需要改为 mysql_native_password 或 caching_sha2_password：

1
UPDATE mysql.user SET plugin='caching_sha2_password' WHERE User='root';
2
FLUSH PRIVILEGES;

caching_sha2_password 是 MySQL 8.0 的默认认证插件，推荐优先使用。mysql_native_password 是老版本默认插件，仅在第三方客户端不兼容 caching_sha2_password 时使用。

Windows 找不到 mysqld.exe#

原因：未将 MySQL 的 bin 目录加入系统 PATH 环境变量

如果在 cmd 中直接输入 mysqld 提示 'mysqld' 不是内部或外部命令，有两种解决方案：

方案一：使用完整路径（推荐，一劳永逸）

1
"C:\Program Files\MySQL\MySQL Server 8.0\bin\mysqld.exe" --defaults-file="C:\ProgramData\MySQL\MySQL Server 8.0\my.ini" --console --skip-grant-tables --shared-memory

方案二：临时加入 PATH（仅当前终端会话有效）

1
set PATH=%PATH%;C:\Program Files\MySQL\MySQL Server 8.0\bin

之后即可直接使用 mysqld 命令。注意此设置在终端关闭后失效。

8.1 各版本差异速查#

MySQL 5.7 重置示例（如果第 2.1 步确认版本为 5.7，请使用以下命令替代第 5 章）：

1
FLUSH PRIVILEGES;
2
UPDATE mysql.user SET authentication_string=PASSWORD('YourNewPassword123!') WHERE User='root';
3
FLUSH PRIVILEGES;

注意：MySQL 5.7.6 及以上版本使用 authentication_string 字段（同 8.0），但需要配合 PASSWORD() 函数；5.7.5 及以下版本使用 password 字段。

8.2 无共享内存支持的备用方案#

--shared-memory 虽然在 Windows 上可用且是隔离连接的首选方案，但某些定制化 MySQL 构建或极老的 Windows 版本可能不支持共享内存协议。此时可使用 --skip-networking 作为替代。

1
"C:\Program Files\MySQL\MySQL Server 8.0\bin\mysqld.exe" --defaults-file="C:\ProgramData\MySQL\MySQL Server 8.0\my.ini" --console --skip-grant-tables --skip-networking

--skip-networking 效果：

• 禁止所有 TCP/IP 连接（端口 3306 不监听）
• 仅允许通过命名管道（named pipe）或共享内存（如系统支持）的本地连接
• 如果 --shared-memory 不可用，--skip-networking 是最接近的安全替代方案

连接时需指定命名管道协议：

1
mysql -u root --protocol=pipe

或指定共享内存协议（如果系统支持）：

1
mysql -u root --protocol=memory

8.3 图形化工具用户注意事项#

如果你使用 MySQL Workbench、DBeaver、Navicat、HeidiSQL 等图形化工具管理数据库，密码重置完成后需要更新这些工具中保存的连接密码。

MySQL Workbench

1. 打开 Workbench，在首页的连接列表中，找到对应连接
2. 右键连接 → Edit Connection
3. 切换到 “Parameters” 标签页
4. 更新 Password 字段为新密码
5. 点击 “Test Connection” 验证
6. 点击 “Close” 保存

DBeaver

1. 在数据库导航器中，右键对应连接 → Edit Connection
2. 在 “General” 标签页中更新 Password
3. 点击 “Test Connection” 验证
4. 点击 “Finish” 保存

Navicat

1. 在连接列表中，右键对应连接 → Edit Connection
2. 在 “General” 标签页中更新 Password
3. 点击 “Test Connection” 验证
4. 点击 “OK” 保存

图形化工具通常会在本地以加密形式存储连接密码（如 Workbench 使用系统密钥链、Navicat 使用自身加密）。如果已忘记旧密码，直接覆盖为新密码即可。如果工具还保存了历史连接密码记录，建议清理相关记录以策安全。

8.4 使用 --init-file 进行自动密码重置（官方推荐）#

--init-file 是 MySQL 官方文档推荐的密码重置方案。其原理是在 MySQL 启动时自动执行指定文件中的 SQL 语句，完成密码重置后服务器自动退出。相比正文中的 --skip-grant-tables 交互式方案，--init-file 的优势在于：MySQL 仅在启动瞬间执行增量文件即退出，不会长时间暴露在无权限检查状态，安全敞口时间显著缩短。对于生产环境，此方案是首选。

步骤一：创建 SQL 增量文件

在任意位置创建一个文本文件（建议放在 C:\mysql-init.txt），内容为一行 ALTER USER 语句：

1
ALTER USER 'root'@'localhost' IDENTIFIED BY 'YourNewPassword123!';

文件编码必须为 UTF-8 without BOM 或 ANSI。使用 UTF-8 with BOM 可能导致 SQL 解析失败，因为 BOM 字节会被当作语句的一部分。用记事本另存为时选择”ANSI”编码；用 VS Code 创建时在底部状态栏点击编码切换为”UTF-8”（不是”UTF-8 with BOM”）。

步骤二：以 --init-file 模式启动 MySQL

1
"C:\Program Files\MySQL\MySQL Server 8.0\bin\mysqld.exe" --defaults-file="C:\ProgramData\MySQL\MySQL Server 8.0\my.ini" --init-file=C:\mysql-init.txt --console

执行过程：

1. MySQL 正常启动，完成 InnoDB 恢复和缓冲池初始化
2. 自动读取并执行 C:\mysql-init.txt 中的 ALTER USER 语句
3. 执行完成后自动关闭（Shutdown complete 会出现在日志中）

整个过程通常只需数秒，且 MySQL 在此期间处于正常运行状态（权限检查完整），仅本机能通过共享内存或命名管道连接。这远优于 --skip-grant-tables 模式下的全开放状态。

步骤三：正常启动服务并验证

1
net start MySQL80
2
mysql -u root -p

输入 init 文件中设置的新密码，确认能成功登录。

步骤四：删除 init 文件（必须）

1
del C:\mysql-init.txt

mysql-init.txt 文件中以明文形式包含了 root 新密码。操作完成后必须立即删除，否则任何能访问此文件的本机用户都能直接获取 root 密码。此步骤不可跳过。

如果 --init-file 方案失败

少数情况下 --init-file 模式可能因以下原因启动失败：

• init 文件中除 ALTER USER 外还包含其他语句，某条语句执行失败导致 MySQL 整体启动失败
• 文件路径包含空格且未正确引用（应使用 --init-file=C:\path\to\file.txt 不带引号，因为路径中无空格时不需要引号；路径中有空格时需双引号包裹路径值，如 --init-file="C:\path with spaces\mysql-init.txt"）
• 文件编码问题导致 SQL 解析失败

如果 --init-file 方案不可行，回退到正文第 4-5 章的 --skip-grant-tables + --shared-memory 交互式方案——该方法兼容性最高，在所有 MySQL 8.0 构建中均可用。