MySQL密码忘了？密码解密线别慌，网上那些“在线解密”工具，密码解密线十有八九是密码解密线唬人的。我拿自己踩过的密码解密线坑说句实话：MySQL的密码加密方式，从MySQL 4.1开始就是密码解密线SHA-1双重散列，这玩意儿是密码解密线单向的，根本不存在“解密”这回事。密码解密线所谓在线解密，密码解密线要么是密码解密线暴力猜解弱口令，要么是密码解密线钓鱼网站偷你密码哈希去撞库。

先看个真实案例。密码解密线上个月有个朋友慌慌张张找我，密码解密线说公司生产库密码丢了，密码解密线运维在百度搜了个“MySQL密码解密在线”的密码解密线网站，把root用户的密码解密线authentication_string（就是那个41位十六进制字符串）贴进去，点了“解密”。结果页面转了三圈，弹出来一个“支付19.9元查看结果”的二维码。他付了钱，拿到的结果是一串乱码——显然是骗钱的。后来我帮他重置了密码，前后花了五分钟。

为什么不能解密？你想想，SHA-1算法把任意长度的输入变成固定40位十六进制输出，这个过程有无数种输入对应同一个输出（虽然实际碰撞很难），但你从输出反推输入，计算量是天文数字。MySQL的password函数是先对原始密码做一次SHA-1，再对结果做一次SHA-1，最后加上一个固定前缀“*”。这个设计就是为了防止彩虹表攻击。你要是能从哈希反推出明文，那等于把SHA-1给破解了，够你拿图灵奖了。

那在线工具到底在干什么？分三种情况。第一种，纯骗钱，就是上面那个案例。第二种，弱口令字典穷举——你密码是“123456”或者“admin”这种，它后台跑个几万条的常用密码字典，碰运气撞上了就显示“破解成功”，撞不上就让你等。第三种最阴，它把你的哈希值存下来，如果你在别的网站用了同一个MySQL密码，它可能通过撞库关联到你的其他账号信息。

真要找回MySQL密码，其实有正经路子，根本不用求“解密”。如果你是root用户，并且有服务器文件系统权限，直接停掉MySQL服务，用--skip-grant-tables参数启动，然后就能无密码登录，改掉authentication_string。具体命令我不啰嗦，网上官方文档写得明明白白。但注意，这个操作要断网，防止别人趁虚而入。

还有个野路子，适合你手头有旧备份的。MySQL的密码哈希值如果是从旧版本迁移过来的，比如4.0之前的老格式（8字节），那时候的加密算法确实有漏洞，因为它的随机种子太少，理论上可以暴力枚举。但现实中，你碰到这种老古董的概率比中彩票还低。

说句难听的，那些还在搜“在线解密”的人，多半是懒或者慌。密码忘了，第一时间该想的是“怎么重置”，而不是“怎么还原”。数据库密码不是保险柜钥匙，它是一道单向门，你只能破门而入，不能从锁孔里把钥匙掏出来。下次再看到号称能解密的网站，直接关掉，省点时间备份数据重装吧。

最后提醒一句，别把重要库的密码设成生日、手机号这种能猜的。真被破解了，不是人家工具厉害，是你自己把门开了一半。