驗證因素通常包括下列類型的資訊

「您知道的某些事物」因素類型依賴於在驗證過程的兩端都保密的資訊。不幸的是，機密資訊可能會被洩露：有人可能會看到您輸入密碼，或使用網路釣魚攻擊欺騙您，伺服器端儲存的密碼可能會因安全性漏洞而洩露，等等。使用多個密碼可以提高安全性，但每個密碼仍可能被洩露。使用其他因素類型可以提高安全性，並降低洩露風險。

在 MySQL 中實作多因素驗證包含下列元素

authentication_policy 系統變數定義多因素驗證原則。具體而言，它定義了帳戶可以擁有（或必須擁有）多少個驗證因素，以及每個因素可以使用的驗證方法。

authentication_policy 的值是一個以逗號分隔的 1 個、2 個或 3 個元素的列表。列表中的每個元素都對應一個驗證因素，可以是驗證外掛程式名稱、星號 (*)、空白或遺失。(例外：元素 1 不能為空白或遺失)。整個列表用單引號括起來。例如，以下 authentication_policy 值包含星號、驗證外掛程式名稱和空白元素

authentication_policy = '*,authentication_webauthn,'

星號 (*) 表示需要驗證方法，但允許任何方法。空白元素表示驗證方法是可選的，並且允許任何方法。遺失元素（沒有星號、空白元素或驗證外掛程式名稱）表示不允許驗證方法。當指定外掛程式名稱時，在建立或修改帳戶時，該驗證方法是相應因素的必要方法。

預設的 authentication_policy 值為 '*,,' (一個星號和兩個空白元素)，表示需要第一個因素，並可選擇允許第二個和第三個因素。因此，預設的 authentication_policy 值與現有的 1FA 帳戶向後相容，但也允許建立或修改帳戶以使用 2FA 或 3FA。

擁有 AUTHENTICATION_POLICY_ADMIN 權限的使用者不受 authentication_policy 設定施加的約束。(對於原本不允許的語句，會出現警告)。

authentication_policy 值可以在選項檔案中定義，或使用 SET GLOBAL 語句指定。

SET GLOBAL authentication_policy='*,*,';

有一些規則管理 authentication_policy 值的定義方式。請參閱 authentication_policy 系統變數描述以了解這些規則的完整說明。下表提供了一些 authentication_policy 範例值和每個值建立的原則。

預設情況下，MySQL 使用多因素驗證原則，該原則允許第一個因素使用任何驗證外掛程式，並可選擇允許第二個和第三個驗證因素。此原則可配置；有關詳細資訊，請參閱設定多因素驗證原則。

假設您希望帳戶先使用 caching_sha2_password 外掛程式進行驗證，然後使用 authentication_ldap_sasl SASL LDAP 外掛程式進行驗證。(這假設 LDAP 驗證已按照第 8.4.1.7 節，「LDAP 可插拔驗證」中所述設定，並且該使用者在 LDAP 目錄中擁有與範例中顯示的驗證字串對應的條目。) 使用類似如下的語句建立帳戶

CREATE USER 'alice'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com';

為了連線，使用者必須提供兩個密碼。為了讓需要多重密碼的帳戶能夠驗證連線到 MySQL 伺服器，用戶端程式提供了 --password1、--password2 和 --password3 選項，允許指定最多三個密碼。這些選項與 --password 選項類似，因為它們可以在命令列上的選項後面帶有密碼值（這是不安全的），或者如果沒有密碼值，則會提示使用者輸入密碼。對於剛建立的帳戶，因素 1 和 2 採用密碼，因此使用 mysql 用戶端調用 --password1 和 --password2 選項。mysql 會依次提示輸入每個密碼

$> mysql --user=alice --password1 --password2
Enter password: (enter factor 1 password)
Enter password: (enter factor 2 password)

假設您想新增第三個驗證因素。這可以透過刪除並重新建立具有第三個因素的使用者，或使用 ALTER USER user ADD factor 語法來實現。兩種方法如下所示

DROP USER 'alice'@'localhost';
  
CREATE USER 'alice'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com'
  AND IDENTIFIED WITH authentication_webauthn;

ADD factor 語法包括因素編號和 FACTOR 關鍵字

ALTER USER 'alice'@'localhost' ADD 3 FACTOR IDENTIFIED WITH authentication_webauthn;

ALTER USER user DROP factor 語法允許刪除因素。以下範例刪除了先前範例中新增的第三個因素 (authentication_webauthn)

ALTER USER 'alice'@'localhost' DROP 3 FACTOR;

ALTER USER user MODIFY factor 語法允許變更特定因素的外掛程式或驗證字串，前提是該因素存在。以下範例修改了第二個因素，將驗證方法從 authentication_ldap_sasl 變更為 authetication_webauthn

ALTER USER 'alice'@'localhost' MODIFY 2 FACTOR IDENTIFIED WITH authentication_webauthn;

使用 SHOW CREATE USER 來檢視為帳戶定義的驗證方法。

SHOW CREATE USER 'u1'@'localhost'\G
*************************** 1. row ***************************
CREATE USER for u1@localhost: CREATE USER `u1`@`localhost` 
IDENTIFIED WITH 'caching_sha2_password' AS 'sha2_password' 
AND IDENTIFIED WITH 'authentication_authn' REQUIRE NONE 
PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCK PASSWORD HISTORY 
DEFAULT PASSWORD REUSE INTERVAL DEFAULT PASSWORD REQUIRE 
CURRENT DEFAULT