对于每个受影响的帐户，ALTER USER修改系统表中的相应行 mysql.user以反映语句中指定的属性。未指定的属性保留其当前值。

每个帐户名都使用 第 6.2.4 节“指定帐户名”中描述的格式。帐户名的主机名部分（如果省略）默认为'%'. 也可以指定 CURRENT_USER或 CURRENT_USER()引用与当前会话关联的帐户。

仅对于一种语法，可以使用以下 USER()函数指定帐户：

ALTER USER USER() IDENTIFIED BY 'auth_string';

此语法允许更改您自己的密码，而无需按字面意思命名您的帐户。（该语法还支持 在ALTER USER Authentication OptionsREPLACE中描述的、RETAIN CURRENT PASSWORD和DISCARD OLD PASSWORD子句 。）

对于ALTER USER允许auth_option值跟在user值后面的语法， auth_option指示帐户如何通过指定帐户身份验证插件、凭据（例如密码）或两者进行身份验证。每个 auth_option值仅适用 于紧接其前的命名帐户。

按照user规范，该语句可能包括 SSL/TLS、资源限制、密码管理和锁定属性的选项。所有这些选项对报表都是全局的，适用于 报表中指定的所有帐户。

示例：更改帐户密码并使其过期。因此，用户必须使用指定的密码进行连接，并在下一次连接时选择一个新密码：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'new_password' PASSWORD EXPIRE;

示例：修改帐户以使用 caching_sha2_password身份验证插件和给定的密码。要求每 180 天选择一个新密码，并启用登录失败跟踪，例如连续 3 次错误密码导致帐户临时锁定两天：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH caching_sha2_password BY 'new_password'
  PASSWORD EXPIRE INTERVAL 180 DAY
  FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 2;

示例：锁定或解锁帐户：

ALTER USER 'jeffrey'@'localhost' ACCOUNT LOCK;
ALTER USER 'jeffrey'@'localhost' ACCOUNT UNLOCK;

示例：要求一个帐户使用 SSL 进行连接并建立每小时 20 个连接的限制：

ALTER USER 'jeffrey'@'localhost'
  REQUIRE SSL WITH MAX_CONNECTIONS_PER_HOUR 20;

示例：更改多个帐户，指定一些每个帐户的属性和一些全局属性：

ALTER USER
  'jeffrey'@'localhost'
    IDENTIFIED BY 'jeffrey_new_password',
  'jeanne'@'localhost',
  'josh'@'localhost'
    IDENTIFIED BY 'josh_new_password'
    REPLACE 'josh_current_password'
    RETAIN CURRENT PASSWORD
  REQUIRE SSL WITH MAX_USER_CONNECTIONS 2
  PASSWORD HISTORY 5;

以下IDENTIFIED BY值 jeffrey仅适用于紧接其前的帐户，因此它将密码更改为 仅适用于。对于 ，没有每个帐户的值（因此保持密码不变）。对于， 建立新密码（）， 指定验证发出该 语句的用户是否知道当前密码（），并且当前密码也保留为帐户二级密码。（因此，可以使用主密码或辅助密码进行连接。） 'jeffrey_new_password'jeffreyjeannejoshIDENTIFIED BY'josh_new_password'REPLACEALTER USER'josh_current_password'josh

其余属性全局适用于声明中指定的所有帐户，因此对于这两个帐户：

示例：丢弃 的辅助密码 josh，仅保留其主密码的帐户：

ALTER USER 'josh'@'localhost' DISCARD OLD PASSWORD;

如果没有特定类型的期权，账户在这方面保持不变。例如，如果没有锁定选项，则不会更改帐户的锁定状态。

帐户名后面可能跟有 auth_option指定帐户身份验证插件、凭据或两者的身份验证选项。它还可能包括一个密码验证子句，用于指定要替换的帐户当前密码，以及管理帐户是否具有辅助密码的子句。

ALTER USER允许这些 auth_option语法：

示例：指定密码为明文；使用默认插件：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'password';

示例：指定身份验证插件以及明文密码值：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH mysql_native_password
             BY 'password';

示例：与前面的示例类似，但另外，将当前密码指定为明文值以满足进行更改的用户知道该密码的任何帐户要求：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH mysql_native_password
             BY 'password'
             REPLACE 'current_password';

除非当前用户是 jeffrey因为REPLACE 只允许更改当前用户的密码，否则前面的语句将失败。

示例：建立新的主密码，保留现有密码作为副密码：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'new_password'
  RETAIN CURRENT PASSWORD;

示例：丢弃次要密码，只保留其主密码的帐户：

ALTER USER 'jeffery'@'localhost' DISCARD OLD PASSWORD;

示例：指定身份验证插件以及哈希密码值：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH mysql_native_password
             AS '*6C8989366EAF75BB670AD8EA7A7FC1176A95CEF4';

有关设置密码和身份验证插件的其他信息，请参阅 第 6.2.14 节，“分配帐户密码”和 第 6.2.17 节，“可插入身份验证”。

从 MySQL 8.0.27 开始，ALTER USER 有ADD、MODIFY和 DROP子句可以添加、修改或删除身份验证因素。在每种情况下，该子句都指定了对一个身份验证因素执行的操作，以及可选的对另一个身份验证因素的操作。对于每个操作，该 factor项目指定 FACTOR前面带有数字 2 或 3 的关键字，以指示该操作是适用于第二个还是第三个身份验证因素。（在此上下文中不允许使用 1。要对第一个身份验证因素采取行动，请使用 ALTER USER Authentication Options中描述的语法。）

ALTER USER多因素身份验证子句约束由 authentication_policy系统变量定义。例如，该 authentication_policy设置控制帐户可能具有的身份验证因素的数量，以及对于每个因素，允许使用哪些身份验证方法。请参阅 配置多因素身份验证策略。

当ALTER USER在单个语句中添加、修改或删除第二个和第三个因素时，操作将按顺序执行，但如果序列中的任何操作失败，则整个ALTER USER语句失败。

对于ADD，每个命名因子必须不存在或无法添加。对于MODIFY和 DROP，每个命名因子必须存在才能被修改或删除。如果定义了第二个和第三个因素，则删除第二个因素会导致第三个因素取代它成为第二个因素。

此语句删除身份验证因素 2 和 3，其作用是将帐户从 3FA 转换为 1FA：

ALTER USER 'user' DROP 2 FACTOR 3 FACTOR;

有关其他ADD、 MODIFY和DROP 示例，请参阅 多因素身份验证入门。

有关确定未命名插件的身份验证子句的默认身份验证插件的特定因素规则的信息，请参阅 默认身份验证插件。

从 MySQL 8.0.27 开始，ALTER USER 具有使 FIDO 设备能够注册和注销的子句。有关详细信息，请参阅 使用 FIDO 身份验证、 FIDO 设备注销和mysql客户端 --fido-register-factor选项说明。

mysql客户端 选项 ，--fido-register-factor用于 FIDO 设备注册，使 mysql客户端生成并执行 INITIATE REGISTRATIONandFINISH REGISTRATION语句。这些语句不适用于手动执行。

ALTER USER ... DEFAULT ROLE定义当用户连接到服务器并进行身份验证时，或者当用户 SET ROLE DEFAULT在会话期间执行语句时，哪些角色会变为活动状态。

ALTER USER ... DEFAULT ROLE是替代语法 SET DEFAULT ROLE（参见 第 13.7.1.9 节，“SET DEFAULT ROLE 语句”）。但是， ALTER USER只能为单个用户设置默认值，而SET DEFAULT ROLE可以为多个用户设置默认值。另一方面，您可以 CURRENT_USER为语句指定 as 用户名 ALTER USER，而不能为SET DEFAULT ROLE.

每个用户帐户名都使用前面描述的格式。

每个角色名称都使用第 6.2.5 节“指定角色名称” 中描述的格式 。例如：

ALTER USER 'joe'@'10.0.0.1' DEFAULT ROLE administrator, developer;

角色名称的主机名部分（如果省略）默认为 '%'.

关键字后面的子句DEFAULT ROLE 允许这些值：

除了通常基于用户名和凭据的身份验证之外，MySQL 还可以检查 X.509 证书属性。有关在 MySQL 中使用 SSL/TLS 的背景信息，请参阅第 6.3 节，“使用加密连接”。

要为 MySQL 帐户指定与 SSL/TLS 相关的选项，请使用 REQUIRE指定一个或多个 tls_option值的子句。

选项的顺序REQUIRE无关紧要，但任何选项都不能指定两次。AND关键字在选项之间是可选 的 REQUIRE。

ALTER USER允许这些 tls_option值：

、和 选项可以在 子句 SUBJECT中组合：ISSUERCIPHERREQUIRE

ALTER USER 'jeffrey'@'localhost'
  REQUIRE SUBJECT '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL demo client certificate/
    CN=client/emailAddress=client@example.com'
  AND ISSUER '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL/CN=CA/emailAddress=ca@example.com'
  AND CIPHER 'EDH-RSA-DES-CBC3-SHA';

可以限制帐户对服务器资源的使用，如第 6.2.21 节“设置帐户资源限制”中所述。为此，请使用WITH指定一个或多个resource_option值的子句。

选项的顺序WITH无关紧要，除非多次指定给定的资源限制，最后一个实例优先。

ALTER USER允许这些 resource_option值：

例子：

ALTER USER 'jeffrey'@'localhost'
  WITH MAX_QUERIES_PER_HOUR 500 MAX_UPDATES_PER_HOUR 100;

ALTER USER支持 password_option密码管理的多个值：

本节介绍密码管理选项的语法。有关建立密码管理策略的信息，请参阅 第 6.2.15 节，“密码管理”。

如果指定了多个给定类型的密码管理选项，则最后一个优先。例如， PASSWORD EXPIRE DEFAULT PASSWORD EXPIRE NEVER与 相同PASSWORD EXPIRE NEVER。

如果帐户密码已手动过期，或者根据自动过期策略，密码期限被认为大于其允许的生命周期，则客户端的密码已过期。在这种情况下，服务器要么断开客户端，要么限制允许的操作（请参阅 第 6.2.16 节，“服务器处理过期密码”）。在用户建立新帐户密码之前，受限客户端执行的操作会导致错误。

ALTER USER允许使用这些 password_option值来控制密码过期：

ALTER USER允许这些 password_option值根据所需的最小密码更改次数来控制以前密码的重用：

ALTER USER允许这些 password_option值用于根据经过的时间控制以前密码的重用：

ALTER USER允许使用这些 password_option值来控制更改帐户密码的尝试是否必须指定当前密码，以验证尝试进行更改的用户实际上知道当前密码：

从 MySQL 8.0.19 开始，ALTER USER 允许使用这些password_option 值来控制失败登录跟踪：

要进行登录失败跟踪和临时锁定，帐户FAILED_LOGIN_ATTEMPTS和 PASSWORD_LOCK_TIME选项都必须非零。以下语句修改一个帐户，使其在连续四次密码失败后保持锁定状态两天：

ALTER USER 'jeffrey'@'localhost'
  FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME 2;

MySQL 8.0.21 及更高版本支持用户注释和用户属性，如第 13.7.1.3 节“CREATE USER 语句”中所述。这些可以分别ALTER USER 通过COMMENT和 ATTRIBUTE选项进行修改。您不能在同一ALTER USER 语句中同时指定这两个选项；尝试这样做会导致语法错误。

INFORMATION_SCHEMA.USER_ATTRIBUTES 用户评论和用户属性作为JSON对象 存储在 表中；用户评论作为comment键的值存储在该表的 ATTRIBUTE 列中，如本讨论稍后所示。COMMENT文本可以是任意引用的 文本，并替换任何现有的用户评论。该 ATTRIBUTE值必须是 JSON 对象的有效字符串表示形式。这与任何现有用户属性合并，就好像该 JSON_MERGE_PATCH()功能已用于现有用户属性和新用户属性一样；对于重新使用的任何键，新值会覆盖旧值，如下所示：

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"foo": "bar"} |
+------+-----------+----------------+
1 row in set (0.11 sec)

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"baz": "faz", "foo": "moo"}';
Query OK, 0 rows affected (0.22 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+------------------------------+
| USER | HOST      | ATTRIBUTE                    |
+------+-----------+------------------------------+
| bill | localhost | {"baz": "faz", "foo": "moo"} |
+------+-----------+------------------------------+
1 row in set (0.00 sec)

要从用户属性中删除键及其值，请将键设置为 JSON null（必须小写且不带引号），如下所示：

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"foo": null}';
Query OK, 0 rows affected (0.08 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"baz": "faz"} |
+------+-----------+----------------+
1 row in set (0.00 sec)

要将现有用户评论设置为空字符串，请使用 ALTER USER ... COMMENT ''. 这会在表中留下一个空comment值 USER_ATTRIBUTES；要完全删除用户评论，ALTER USER ... ATTRIBUTE ...请将列键的值设置为 JSON null（不带引号，小写）。下面的 SQL 语句序列说明了这一点：

mysql> ALTER USER 'bill'@'localhost' COMMENT 'Something about Bill';
Query OK, 0 rows affected (0.06 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+---------------------------------------------------+
| USER | HOST      | ATTRIBUTE                                         |
+------+-----------+---------------------------------------------------+
| bill | localhost | {"baz": "faz", "comment": "Something about Bill"} |
+------+-----------+---------------------------------------------------+
1 row in set (0.00 sec)

mysql> ALTER USER 'bill'@'localhost' COMMENT '';
Query OK, 0 rows affected (0.09 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+-------------------------------+
| USER | HOST      | ATTRIBUTE                     |
+------+-----------+-------------------------------+
| bill | localhost | {"baz": "faz", "comment": ""} |
+------+-----------+-------------------------------+
1 row in set (0.00 sec)

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"comment": null}';
Query OK, 0 rows affected (0.07 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"baz": "faz"} |
+------+-----------+----------------+
1 row in set (0.00 sec)

MySQL 支持使用 ACCOUNT LOCK和ACCOUNT UNLOCK选项来锁定和解锁帐户，这些选项指定帐户的锁定状态。有关其他讨论，请参阅 第 6.2.20 节，“帐户锁定”。

如果指定了多个帐户锁定选项，则最后一个优先。

从 MySQL 8.0.19 开始， ALTER USER ... UNLOCK解锁由于登录失败次数过多而暂时锁定的语句命名的任何帐户。请参阅 第 6.2.15 节，“密码管理”。

ALTER USER如果成功则写入二进制日志，但如果失败则不写入；在这种情况下，将发生回滚并且不进行任何更改。写入二进制日志的语句包括所有命名用户。如果IF EXISTS给出该子句，这甚至包括不存在且未更改的用户。

如果原始语句更改了用户的凭据，则写入二进制日志的语句会为该用户指定适用的身份验证插件，确定如下：

如果服务器在写入二进制日志的语句中为任何用户添加了默认身份验证插件，它会向错误日志中写入一条警告，命名这些用户。

如果原始语句指定了 FAILED_LOGIN_ATTEMPTSor PASSWORD_LOCK_TIME选项，则写入二进制日志的语句将包含该选项。

ALTER USER带有支持多因素身份验证 (MFA) 子句的语句将写入二进制日志，语句除外。 ALTER USER user factor INITIATE REGISTRATION