本节介绍如何安装服务器端 FIDO 身份验证插件。有关安装插件的一般信息，请参阅第 5.6.1 节，“安装和卸载插件”。

为了被服务器使用，插件库文件必须位于MySQL插件目录（由plugin_dir系统变量命名的目录）中。plugin_dir如有必要，通过在服务器启动时 设置值来配置插件目录位置 。

服务器端插件库文件基本名称是 authentication_fido. 文件名后缀因平台而异（例如，.so 对于 Unix 和类 Unix 系统，.dll对于 Windows）。

要在服务器启动时加载插件，请使用 --plugin-load-add选项命名包含它的库文件。使用这种插件加载方法，每次服务器启动时都必须给出该选项。

my.cnf要加载插件，请在您的文件 中放入这样一行，并 .so根据需要调整您平台的后缀：

[mysqld]
plugin-load-add=authentication_fido.so

修改my.cnf后重启服务器使新设置生效。

或者，要在运行时加载插件，请使用此语句，.so根据需要调整平台的后缀：

INSTALL PLUGIN authentication_fido
  SONAME 'authentication_fido.so';

INSTALL PLUGIN立即加载插件，并将其注册在 mysql.plugins系统表中，使服务器在后续每次正常启动时加载它，而无需--plugin-load-add.

要验证插件安装，请检查 INFORMATION_SCHEMA.PLUGINS表格或使用SHOW PLUGINS 语句（请参阅 第 5.6.2 节，“获取服务器插件信息”）。例如：

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME = 'authentication_fido';
+---------------------+---------------+
| PLUGIN_NAME         | PLUGIN_STATUS |
+---------------------+---------------+
| authentication_fido | ACTIVE        |
+---------------------+---------------+

如果插件无法初始化，请检查服务器错误日志以获取诊断消息。

要将 MySQL 帐户与 FIDO 身份验证插件相关联，请参阅 使用 FIDO 身份验证。

FIDO 身份验证通常用于多因素身份验证的上下文中（请参阅 第 6.2.18 节，“多因素身份验证”）。本节介绍如何使用 authentication_fido插件将基于 FIDO 设备的身份验证合并到多因素帐户中。

在下面的讨论中假设服务器在启用服务器端 FIDO 身份验证插件的情况下运行，如 安装 FIDO 可插入身份验证中所述，并且客户端 FIDO 插件在客户端主机上的插件目录中可用。

还假设 FIDO 身份验证与非 FIDO 身份验证（这意味着 2FA 或 3FA 帐户）结合使用。FIDO 本身也可以用来创建以无密码方式进行身份验证的 1FA 帐户。在这种情况下，设置过程有所不同。有关说明，请参阅 FIDO 无密码身份验证。

配置为使用插件的帐户 authentication_fido与 FIDO 设备相关联。因此，在进行 FIDO 身份验证之前，需要执行一次性设备注册步骤。设备注册过程具有以下特点：

假设您希望一个帐户先使用caching_sha2_password插件进行身份验证，然后再使用authentication_fido插件。使用如下语句创建一个多因素账户：

CREATE USER 'u2'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_fido;

要连接，请提供因子 1 密码以满足该因子的身份验证，并启动 FIDO 设备的注册，将因子设置 --fido-register-factor为因子 2。

$> mysql --user=u2 --password1 --fido-register-factor=2
Enter password: (enter factor 1 password)

接受因素 1 密码后，客户端会话进入沙盒模式，以便可以为因素 2 执行设备注册。在注册过程中，系统会提示您执行适当的 FIDO 设备操作，例如触摸设备或执行生物识别扫描。

注册过程完成后，允许连接到服务器。

本节介绍如何使用 FIDO 本身来创建以无密码方式进行身份验证的 1FA 帐户。在此上下文中，“无密码”意味着身份验证发生但使用密码以外的方法，例如安全密钥或生物识别扫描。它不是指使用密码为空的基于密码的身份验证插件的帐户。那种 “无密码”是完全不安全的，不推荐。

authentication_fido使用插件实现无密码身份验证 时，以下先决条件适用 ：

要authentication_fido用作无密码身份验证方法，必须使用authentication_fido第一因素身份验证方法创建帐户。INITIAL AUTHENTICATION IDENTIFIED BY还必须为第一个因素指定子句（不支持第二个或第三个因素）。此子句指定随机生成的密码还是用户指定的密码将用于 FIDO 设备注册。设备注册后，服务器删除密码并修改账号，成为 authentication_fido唯一的认证方式（1FA方式）。

所需的CREATE USER语法如下：

CREATE USER user
  IDENTIFIED WITH authentication_fido
  INITIAL AUTHENTICATION IDENTIFIED BY {RANDOM PASSWORD | 'auth_string'};

以下示例使用RANDOM PASSWORD语法：

mysql> CREATE USER 'u1'@'localhost'
         IDENTIFIED WITH authentication_fido
         INITIAL AUTHENTICATION IDENTIFIED BY RANDOM PASSWORD;
+------+-----------+----------------------+-------------+
| user | host      | generated password   | auth_factor |
+------+-----------+----------------------+-------------+
| u1   | localhost | 9XHK]M{l2rnD;VXyHzeF |           1 |
+------+-----------+----------------------+-------------+

要执行注册，用户必须使用与该子句关联的密码INITIAL AUTHENTICATION IDENTIFIED BY（随机生成的密码或 值）向服务器进行身份验证。如果帐户是如刚才所示创建的，则用户执行此命令并在提示符处粘贴前面随机生成的密码 ( )： 'auth_string'9XHK]M{l2rnD;VXyHzeF

$> mysql --user=u1 --password --fido-register-factor=2
Enter password:

使用该选项--fido-register-factor=2是因为该INITIAL AUTHENTICATION IDENTIFIED BY子句当前充当第一因素身份验证方法。因此，用户必须使用第二个因素提供临时密码。成功注册后，服务器会删除临时密码并修改mysql.user 系统表中的帐户条目以authentication_fido列为唯一 (1FA) 身份验证方法。

创建无密码身份验证帐户时，INITIAL AUTHENTICATION IDENTIFIED BY在语句中包含该子句 很重要CREATE USER。服务器将接受没有该子句的声明，但生成的帐户无法使用，因为无法连接到服务器以注册设备。假设您执行这样的语句：

CREATE USER 'u2'@'localhost'
  IDENTIFIED WITH authentication_fido;

随后尝试使用该帐户连接失败，如下所示：

$> mysql --user=u2 --skip-password
Failed to open FIDO device.
ERROR 1 (HY000): Unknown MySQL error

可以注销与 MySQL 帐户关联的 FIDO 设备。在多种情况下，这可能是可取的或必要的：

注销 FIDO 设备可以由账户所有者或任何拥有CREATE USER权限的用户完成。使用此语法：

ALTER USER user {2 | 3} FACTOR UNREGISTER;

要重新注册设备或执行新注册，请参阅 使用 FIDO 身份验证中的说明。

本节概述了 MySQL 和 FIDO 如何协同工作来验证 MySQL 用户。有关显示如何设置 MySQL 帐户以使用 FIDO 身份验证插件的示例，请参阅 使用 FIDO 身份验证。

使用 FIDO 身份验证的帐户必须先执行初始设备注册步骤，然后才能连接到服务器。设备注册后，可以进行身份​​验证。FIDO设备注册流程如下：

注册成功后，FIDO认证流程如下：