我们可以假设，如果攻击者获得了对运行 mysql 的 Web 服务器的访问权限，他们将能够读取脚本以确定 mysql 密码。
如果 mysql 只在 localhost 上响应，它真的需要强密码吗？
当然，如果服务器上存在允许攻击者上传和运行 PHP 文件的漏洞，如果没有安全密码，他们可能会对数据库造成严重破坏。然而，他们仍然可以使用该 PHP 文件来访问“真正的”服务器脚本，将它们发送到客户端，然后以这种方式读取密码。
如果它只响应 localhost，我真的不明白是否需要 mysql 密码。它为什么如此重要？
当我说“无密码”时，我的意思是将其保留为“密码”的默认值，这可能是攻击者的第一个猜测
想到几个原因：
首先，被入侵的主机帐户可以读取一个 MySQL 用户的凭据并不意味着他们可以读取另一个。想象一下，您在共享主机上，并且您的一个共同租户受到了威胁，您不希望他们暴力破解您的密码。
其次，您可能会在自己的系统中使用许多具有不同权限的不同用户。例如，一个用户可能是用于可公开访问的站点的只读用户，而您的管理控制台使用具有写访问权限的用户。如果可公开访问的系统受到威胁，这可能会阻止存储在数据库中的帐户的权限升级 - 假设他们不能暴力破解您的其他 MySQL 密码。
最后，使 MySQL 可以从外部访问并不少见，因此可以使用 MySQL Workbench 等工具来管理和查询它。在这种情况下，您显然需要一个强密码。