用bt命令改密码最稳：SSH登录后运行bt→选“修改面板密码”→输用户名（默认admin）→两次输入新密码（建议含大小写、数字、符号），自动重载配置；面板内修改需旧密码且面板可访问，但易因缓存或特殊字符失败。
直接改密码：用 bt 命令最稳
只要能 SSH 登录服务器，bt 是最快、最可靠的改密方式，不依赖面板是否能打开，也不怕忘记旧密码。它调用的是宝塔内置的管理工具，底层逻辑干净，不会触发权限错乱或 session 冲突。
- 登录后直接运行
bt，回车进入交互菜单；选「5」或「修改面板密码」（不同版本编号略有差异，认准关键词） - 输入要改的用户名（默认是
admin，不是root；若你改过账号名，就输你当前用的用户名） - 两次输入新密码——注意：这里不校验强度，但输弱密码（如
123456）会被面板登录页拦截，建议一步到位用含大小写+数字+符号的组合 - 改完不用手动重启服务，
bt工具内部已自动 reload 配置
面板里点点改：适合记得旧密码且面板能正常访问
路径很直：左侧菜单 → 「面板设置」→ 找到「面板账号」和「面板密码」旁的「设置」按钮。但这里容易卡在两个地方：
- 点「设置」没反应？可能是浏览器缓存了旧 JS 或 CSP 策略拦截，换无痕窗口或清空
/www/server/panel/data下的session目录再试 - 输完新密码点提交，提示「密码修改失败」？常见于密码含特殊字符（如
&、、<code>]）被前端过滤，换成不含这些字符的强密码重试即可 - 改完立刻登不出去？正常——旧会话仍有效，但新密码下次登录才生效；别急着关页面，先记牢新密码再退出
改完必须做的三件事：否则等于白改
只换密码不加固，就像给门换了锁却留着窗大开。尤其当面板暴露在公网时，以下操作缺一不可：
- 立即绑定邮箱：在「面板设置」→「安全设置」里填好邮箱，后续找回、告警、登录验证都靠它
- 开启 IP 白名单：同样在「安全设置」中，填你常用办公 IP 或家庭宽带出口 IP（可查
curl ifconfig.me），填错会导致自己登不上，建议先加一个备用 IP 再保存 - 启用双因素认证（2FA）：勾选「开启双重验证」，用 Authy 或 Google Authenticator 扫码绑定。注意：一旦开启，每次登录都要输 6 位动态码，不能跳过——这是目前防暴力破解最有效的手段
别碰数据库直接改密码字段
有人想绕过面板，直接进 /www/server/panel/data/default.db 或 MySQL 里更新管理员密码哈希值。这非常危险：
- 宝塔 7.9+ 版本已弃用 SQLite 存储账号信息，改用加密的 JSON 文件 + 内存缓存，硬改
default.db无效还可能损坏配置 - 即使老版本能改，密码哈希算法是私有 salt + pbkdf2，不是标准 MD5 或 bcrypt，拿 phpMyAdmin 改出来的值根本无法通过校验
- 误删或格式错一个字节，可能导致整个面板启动失败，只能重装或从备份恢复
真遇到面板打不开又忘了密码，唯一正解是 bt 5 进用户管理重置，或者用 bt reset（部分版本支持）。手欠改数据库，大概率把自己锁在外面。
