mysql_native_password

caching_sha2_password

sha256_password

要建立密码有效期约为六个月的全局策略，请在服务器my.cnf文件中使用以下行启动服务器：

[mysqld]
default_password_lifetime=180

要建立密码永不过期的全局策略，请设置 default_password_lifetime 为 0：

[mysqld]
default_password_lifetime=0

default_password_lifetime 也可以在运行时设置和持久化：

SET PERSIST default_password_lifetime = 180;
SET PERSIST default_password_lifetime = 0;

SET PERSIST为正在运行的 MySQL 实例设置一个值。它还会保存该值以用于随后的服务器重新启动；参见 第 13.7.6.1 节，“变量赋值的 SET 语法”。要更改正在运行的 MySQL 实例的值而不使其延续到后续重新启动，请使用GLOBAL 关键字而不是PERSIST.

要求密码每 90 天更改一次：

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE INTERVAL 90 DAY;
ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE INTERVAL 90 DAY;

此过期选项会覆盖该语句指定的所有帐户的全局策略。

禁用密码过期：

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE NEVER;
ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE NEVER;

此过期选项会覆盖该语句指定的所有帐户的全局策略。

遵守语句指定的所有帐户的全局过期策略：

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE DEFAULT;
ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE DEFAULT;

服务器检查密码是否已手动过期。

否则，服务器根据自动密码过期策略检查密码使用期限是否大于其允许的生存期。如果是，服务器认为密码已过期。

如果一个帐户是基于密码更改次数限制的，则不能从指定数量的最近密码中选择一个新密码。例如，如果密码的最小更改次数设置为 3，则新密码不能与最近的 3 个密码中的任何一个相同。

如果一个帐户是基于经过时间限制的，则不能从历史记录中比指定天数新的密码中选择新密码。例如，如果密码重用间隔设置为 60，则新密码不能是最近 60 天内选择的密码。

要禁止重复使用最近 6 个密码或超过 365 天的密码，请将这些行放在服务器 my.cnf文件中：

[mysqld]
password_history=6
password_reuse_interval=365

要在运行时设置和持久化变量，请使用如下语句：

SET PERSIST password_history = 6;
SET PERSIST password_reuse_interval = 365;

SET PERSIST为正在运行的 MySQL 实例设置一个值。它还会保存该值以用于随后的服务器重新启动；参见 第 13.7.6.1 节，“变量赋值的 SET 语法”。要更改正在运行的 MySQL 实例的值而不使其延续到后续重新启动，请使用GLOBAL 关键字而不是PERSIST.

在允许重新使用之前至少需要更改 5 次密码：

CREATE USER 'jeffrey'@'localhost' PASSWORD HISTORY 5;
ALTER USER 'jeffrey'@'localhost' PASSWORD HISTORY 5;

此历史长度选项覆盖语句命名的所有帐户的全局策略。

需要至少 365 天后才允许重新使用：

CREATE USER 'jeffrey'@'localhost' PASSWORD REUSE INTERVAL 365 DAY;
ALTER USER 'jeffrey'@'localhost' PASSWORD REUSE INTERVAL 365 DAY;

这个经过时间的选项覆盖了语句命名的所有帐户的全局策略。

要组合两种类型的重用限制，请一起使用 PASSWORD HISTORY和PASSWORD REUSE INTERVAL：

CREATE USER 'jeffrey'@'localhost'
  PASSWORD HISTORY 5
  PASSWORD REUSE INTERVAL 365 DAY;
ALTER USER 'jeffrey'@'localhost'
  PASSWORD HISTORY 5
  PASSWORD REUSE INTERVAL 365 DAY;

这些选项覆盖了语句命名的所有帐户的全局策略重用限制。

遵守两种类型的重用限制的全局策略：

CREATE USER 'jeffrey'@'localhost'
  PASSWORD HISTORY DEFAULT
  PASSWORD REUSE INTERVAL DEFAULT;
ALTER USER 'jeffrey'@'localhost'
  PASSWORD HISTORY DEFAULT
  PASSWORD REUSE INTERVAL DEFAULT;

在管理员重置帐户密码之前，原始用户将无法访问 MySQL。

在密码重置发生之前，恶意用户可以使用良性用户更改后的凭据访问 MySQL。

如果帐户设置为PASSWORD REQUIRE CURRENT，密码更改必须指定当前密码。

如果帐户设置为PASSWORD REQUIRE CURRENT OPTIONAL，密码更改可以但不需要指定当前密码。

如果账户设置为PASSWORD REQUIRE CURRENT DEFAULT，则 password_require_current 系统变量确定账户的需要验证的策略：

要建立密码更改必须指定当前密码的全局策略，请在服务器my.cnf文件中使用以下行启动服务器：

[mysqld]
password_require_current=ON

要在运行时设置和持久 password_require_current化，请使用如下语句之一：

SET PERSIST password_require_current = ON;
SET PERSIST password_require_current = OFF;

SET PERSIST为正在运行的 MySQL 实例设置一个值。它还会保存该值以用于随后的服务器重新启动；参见 第 13.7.6.1 节，“变量赋值的 SET 语法”。要更改正在运行的 MySQL 实例的值而不使其延续到后续重新启动，请使用GLOBAL 关键字而不是PERSIST.

要求密码更改指定当前密码：

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT;
ALTER USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT;

此验证选项覆盖声明中指定的所有帐户的全局策略。

不要求密码更改指定当前密码（可以但不需要提供当前密码）：

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT OPTIONAL;
ALTER USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT OPTIONAL;

此验证选项覆盖声明中指定的所有帐户的全局策略。

对语句指定的所有帐户遵循全局密码验证要求策略：

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT DEFAULT;
ALTER USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT DEFAULT;

更改当前用户的密码：

ALTER USER USER() IDENTIFIED BY 'auth_string' REPLACE 'current_auth_string';

更改指定用户的密码：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'auth_string'
  REPLACE 'current_auth_string';

更改指定用户的身份验证插件和密码：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH caching_sha2_password BY 'auth_string'
  REPLACE 'current_auth_string';

REPLACE如果需要更改帐户的密码以指定当前密码，则必须给出，以验证尝试进行更改的用户实际上知道当前密码。

REPLACE如果帐户的密码更改可能但不需要指定当前密码，则该选项是可选的。

如果REPLACE指定，则必须指定正确的当前密码，否则会出错。即使REPLACE是可选的也是如此。

REPLACE只有在更改当前用户的帐户密码时才能指定。（这意味着在刚刚显示的示例中，jeffrey 除非当前用户是 ，否则显式命名帐户的语句将失败jeffrey。）即使特权用户尝试对另一个用户进行更改也是如此；但是，这样的用户可以在不指定的情况下更改任何密码REPLACE。

REPLACE从二进制日志中省略，以避免向其写入明文密码。

一个系统有大量的MySQL服务器，可能涉及复制。

多个应用程序连接到不同的 MySQL 服务器。

必须对应用程序用来连接服务器的一个或多个帐户定期更改凭据。

当您分配新的主密码时， and 语句 的RETAIN CURRENT PASSWORD子句将帐户当前密码保存为其辅助密码。 ALTER USERSET PASSWORD

DISCARD OLD PASSWORD子句 丢弃一个帐户 的ALTER USER二级密码，只留下主密码。

RETAIN CURRENT PASSWORD保留帐户当前密码作为其辅助密码，替换任何现有的辅助密码。新密码成为主密码，但客户端可以使用该帐户使用主密码或辅助密码连接到服务器。ALTER USER （例外：如果or语句指定的新密码SET PASSWORD为空，即使 RETAIN CURRENT PASSWORD给出了二级密码也为空。）

如果您RETAIN CURRENT PASSWORD 为主密码为空的帐户指定，该语句将失败。

如果一个帐户有一个二级密码，而您在没有指定的情况下更改了它的主密码RETAIN CURRENT PASSWORD，则二级密码将保持不变。

对于ALTER USER，如果您更改分配给该帐户的身份验证插件，则二级密码将被丢弃。如果您更改身份验证插件并指定RETAIN CURRENT PASSWORD，则语句失败。

对于ALTER USER, DISCARD OLD PASSWORD丢弃二级密码（如果存在）。该帐户只保留其主密码，客户端只能使用主密码使用该帐户连接到服务器。

APPLICATION_PASSWORD_ADMIN 需要权限才能使用适用于您自己帐户 的 RETAIN CURRENT PASSWORDorDISCARD OLD PASSWORD子句ALTER USER和语句。SET PASSWORD由于大多数用户只需要一个密码，因此需要该权限来操作您自己的二级密码。

如果允许一个帐户操作所有帐户的辅助密码，则应该授予它 CREATE USER特权而不是 APPLICATION_PASSWORD_ADMIN.

FAILED_LOGIN_ATTEMPTS N

此选项指示是否跟踪指定不正确密码的帐户登录尝试。该数字 N指定有多少次连续错误的密码导致临时帐户锁定。

PASSWORD_LOCK_TIME {N | UNBOUNDED}

此选项指示在多次连续登录尝试提供错误密码后锁定帐户的时间。该值是一个数字N ，指定帐户保持锁定的天数，或者 UNBOUNDED指定当帐户进入临时锁定状态时，该状态的持续时间是无限的，直到帐户被解锁才结束。发生解锁的条件将在后面描述。

对于帐户的失败登录跟踪和临时锁定，其FAILED_LOGIN_ATTEMPTS和 PASSWORD_LOCK_TIME选项都必须为非零。

对于CREATE USER，如果 FAILED_LOGIN_ATTEMPTS或 PASSWORD_LOCK_TIME未指定，则对于语句命名的所有帐户，其隐式默认值为 0。这意味着登录失败跟踪和临时帐户锁定被禁用。（这些隐式默认值也适用于在引入失败登录跟踪之前创建的帐户。）

对于ALTER USER，如果 FAILED_LOGIN_ATTEMPTS或 PASSWORD_LOCK_TIME未指定，则其值对于语句命名的所有帐户保持不变。

要发生临时帐户锁定，密码失败必须是连续的。在达到FAILED_LOGIN_ATTEMPTS 失败登录值之前发生的任何成功登录都会导致失败计数重置。例如，如果FAILED_LOGIN_ATTEMPTS是 4 并且连续出现 3 次密码失败，则需要再失败一次才能开始锁定。但是，如果下一次登录成功，该帐户的登录失败计数将被重置，因此再次需要连续四次登录失败才能锁定。

一旦临时锁定开始，即使使用正确的密码也无法成功登录，直到锁定持续时间结束或通过以下讨论中列出的帐户重置方法之一解锁帐户。

对于以下任何情况，将对所有帐户进行全局重置：

对于以下任何情况，都会发生每个帐户的重置：