如何识别MySQL中以MD5()存储的不符合规范的密码？

一、如何找出MySQL中MD5加密的、不符合当前密码标准的密码 #

首先明确：MD5哈希值的核心特征是32位十六进制字符串（部分场景会是16位，或是带*前缀的16位格式，比如早期MySQL自带的密码加密结果）。你可以通过正则匹配先筛选出这类记录：

• 针对标准32位MD5格式：

  SELECT user_id, username, password
  FROM your_users_table
  WHERE password REGEXP '^[a-fA-F0-9]{32}$';
  

• 针对MySQL早期带*前缀的16位MD5格式（例如*90E462C37378CED12064BB3388827D2BA3A9B689）：

  SELECT user_id, username, password
  FROM your_users_table
  WHERE password REGEXP '^\\*[a-fA-F0-9]{16}$';
  

但要注意：你没法直接验证这些MD5对应的明文密码是否符合当前规范（比如长度要求、复杂度要求）——因为MD5是单向哈希算法，不存在逆向解密的路径。实际操作中，通常直接将所有MD5加密的密码标记为“不符合标准”，强制对应用户重置密码，新密码采用更安全的加密方案（比如bcrypt、Argon2，MySQL 8.0+也支持改进版的密码加密逻辑）。

二、能否通过MySQL函数解密MD5再验证明文规范？ #

答案是完全不行。MD5的设计初衷就是单向不可逆，MySQL没有任何内置函数可以解密MD5哈希值。哪怕是暴力破解、彩虹表碰撞这类逆向手段，也需要借助外部工具实现，不可能通过MySQL内置函数完成——而且这类方法效率极低，还存在数据泄露风险，完全不适合生产环境。

所以不要尝试解密MD5来验证明文规范，最合理的做法是淘汰MD5加密的密码，替换为符合当前安全标准的加密方案，同时强制相关用户重置密码。

内容的提问来源于stack exchange，提问作者Dave