caching_sha2_password

mysql_native_password (已棄用)

sha256_password (已棄用)

若要設定全域策略，使密碼的生命週期約為六個月，請在伺服器的 my.cnf 檔案中使用以下行來啟動伺服器：

[mysqld]
default_password_lifetime=180

若要設定全域策略，使密碼永不過期，請將 default_password_lifetime 設定為 0：

[mysqld]
default_password_lifetime=0

default_password_lifetime 也可以在執行階段設定並保留：

SET PERSIST default_password_lifetime = 180;
SET PERSIST default_password_lifetime = 0;

SET PERSIST 會設定執行中 MySQL 執行個體的值。它也會儲存該值，以便在後續伺服器重新啟動時繼續使用；請參閱 第 15.7.6.1 節，「SET 變數指派語法」。若要在執行中的 MySQL 執行個體中變更該值，但不希望在後續重新啟動時繼續使用，請使用 GLOBAL 關鍵字，而非 PERSIST。

要求密碼每 90 天變更一次

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE INTERVAL 90 DAY;
ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE INTERVAL 90 DAY;

此過期選項會覆寫陳述式中所命名之所有帳戶的全域策略。

停用密碼過期

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE NEVER;
ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE NEVER;

此過期選項會覆寫陳述式中所命名之所有帳戶的全域策略。

對於陳述式中所命名之所有帳戶，延遲到全域過期策略

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE DEFAULT;
ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE DEFAULT;

伺服器會檢查密碼是否已手動過期。

否則，伺服器會檢查密碼的使用期限是否大於根據自動密碼過期策略所允許的生命週期。如果是，則伺服器會將密碼視為已過期。

如果帳戶根據密碼變更的次數受到限制，則無法從指定次數的最近密碼中選擇新密碼。例如，如果密碼變更的最小次數設定為 3，則新密碼不能與最近的 3 個密碼中的任何一個相同。

如果帳戶根據經過的時間受到限制，則無法從記錄中選擇比指定天數新的密碼。例如，如果密碼重複使用間隔設定為 60，則新密碼不得是過去 60 天內先前選擇的密碼。

若要禁止重複使用最近的 6 個密碼或比 365 天新的密碼，請將以下行放入伺服器的 my.cnf 檔案中：

[mysqld]
password_history=6
password_reuse_interval=365

若要在執行階段設定和保留變數，請使用如下的陳述式：

SET PERSIST password_history = 6;
SET PERSIST password_reuse_interval = 365;

SET PERSIST 會設定執行中 MySQL 執行個體的值。它也會儲存該值，以便在後續伺服器重新啟動時繼續使用；請參閱 第 15.7.6.1 節，「SET 變數指派語法」。若要在執行中的 MySQL 執行個體中變更該值，但不希望在後續重新啟動時繼續使用，請使用 GLOBAL 關鍵字，而非 PERSIST。

要求至少變更 5 次密碼，然後才允許重複使用

CREATE USER 'jeffrey'@'localhost' PASSWORD HISTORY 5;
ALTER USER 'jeffrey'@'localhost' PASSWORD HISTORY 5;

此記錄長度選項會覆寫陳述式中所命名之所有帳戶的全域策略。

要求至少經過 365 天，然後才允許重複使用

CREATE USER 'jeffrey'@'localhost' PASSWORD REUSE INTERVAL 365 DAY;
ALTER USER 'jeffrey'@'localhost' PASSWORD REUSE INTERVAL 365 DAY;

此經過時間選項會覆寫陳述式中所命名之所有帳戶的全域策略。

若要結合兩種重複使用限制類型，請一起使用 PASSWORD HISTORY 和 PASSWORD REUSE INTERVAL：

CREATE USER 'jeffrey'@'localhost'
  PASSWORD HISTORY 5
  PASSWORD REUSE INTERVAL 365 DAY;
ALTER USER 'jeffrey'@'localhost'
  PASSWORD HISTORY 5
  PASSWORD REUSE INTERVAL 365 DAY;

這些選項會覆寫陳述式中所命名之所有帳戶的兩個全域策略重複使用限制。

延遲到兩種重複使用限制類型的全域策略

CREATE USER 'jeffrey'@'localhost'
  PASSWORD HISTORY DEFAULT
  PASSWORD REUSE INTERVAL DEFAULT;
ALTER USER 'jeffrey'@'localhost'
  PASSWORD HISTORY DEFAULT
  PASSWORD REUSE INTERVAL DEFAULT;

原始使用者將無法存取 MySQL，直到管理員重設帳戶密碼為止。

在重設密碼之前，惡意使用者可以使用良性使用者變更的認證來存取 MySQL。

如果帳戶設定為 PASSWORD REQUIRE CURRENT，則密碼變更必須指定目前的密碼。

如果帳戶設定為 PASSWORD REQUIRE CURRENT OPTIONAL，則密碼變更可以選擇性地指定目前的密碼。

如果帳戶設定為 PASSWORD REQUIRE CURRENT DEFAULT，則 password_require_current 系統變數會決定帳戶的驗證需求策略

若要設定全域政策，規定密碼變更必須指定目前的密碼，請在伺服器的 my.cnf 檔案中，使用以下幾行來啟動伺服器

[mysqld]
password_require_current=ON

若要在執行階段設定並持久化 password_require_current，請使用如下的陳述式

SET PERSIST password_require_current = ON;
SET PERSIST password_require_current = OFF;

SET PERSIST 會設定執行中 MySQL 執行個體的值。它也會儲存該值，以便在後續伺服器重新啟動時繼續使用；請參閱 第 15.7.6.1 節，「SET 變數指派語法」。若要在執行中的 MySQL 執行個體中變更該值，但不希望在後續重新啟動時繼續使用，請使用 GLOBAL 關鍵字，而非 PERSIST。

要求密碼變更時必須指定目前的密碼

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT;
ALTER USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT;

此驗證選項會覆寫陳述式中所有命名帳戶的全域政策。

不要求密碼變更時必須指定目前的密碼（目前的密碼可以選擇性地提供）

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT OPTIONAL;
ALTER USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT OPTIONAL;

此驗證選項會覆寫陳述式中所有命名帳戶的全域政策。

針對陳述式中所有命名帳戶，延用全域密碼驗證需求政策

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT DEFAULT;
ALTER USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT DEFAULT;

變更目前使用者的密碼

ALTER USER USER() IDENTIFIED BY 'auth_string' REPLACE 'current_auth_string';

變更指定使用者的密碼

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'auth_string'
  REPLACE 'current_auth_string';

變更指定使用者的驗證外掛程式和密碼

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH caching_sha2_password BY 'auth_string'
  REPLACE 'current_auth_string';

如果帳戶的密碼變更需要指定目前的密碼，則必須提供 REPLACE，以驗證嘗試變更的使用者確實知道目前的密碼。

如果帳戶的密碼變更可以選擇性地指定目前的密碼，則 REPLACE 是可選的。

如果指定了 REPLACE，則必須指定正確的目前密碼，否則會發生錯誤。即使 REPLACE 是可選的，也是如此。

只有在變更目前使用者的帳戶密碼時，才能指定 REPLACE。（這表示在剛剛顯示的範例中，明確指定 jeffrey 帳戶的陳述式，除非目前使用者是 jeffrey，否則會失敗。）即使具有特權的使用者嘗試為另一個使用者變更密碼，也是如此；但是，此類使用者可以在不指定 REPLACE 的情況下變更任何密碼。

REPLACE 會從二進位日誌中省略，以避免將明文密碼寫入其中。

系統具有大量的 MySQL 伺服器，可能涉及複製。

多個應用程式連線到不同的 MySQL 伺服器。

必須定期變更應用程式用來連線到伺服器的帳戶或多個帳戶的憑證。

當您指派新的主密碼時，ALTER USER 和 SET PASSWORD 陳述式的 RETAIN CURRENT PASSWORD 子句會將帳戶目前的密碼儲存為其次要密碼。

ALTER USER 的 DISCARD OLD PASSWORD 子句會捨棄帳戶的次要密碼，僅保留主密碼。

RETAIN CURRENT PASSWORD 會將帳戶目前的密碼保留為其次要密碼，取代任何現有的次要密碼。新的密碼會成為主密碼，但用戶端可以使用該帳戶以主密碼或次要密碼連線到伺服器。（例外情況：如果 ALTER USER 或 SET PASSWORD 陳述式指定的新密碼為空，則即使提供了 RETAIN CURRENT PASSWORD，次要密碼也會變為空。）

如果您為具有空主密碼的帳戶指定 RETAIN CURRENT PASSWORD，則陳述式會失敗。

如果帳戶具有次要密碼，並且您在未指定 RETAIN CURRENT PASSWORD 的情況下變更其主密碼，則次要密碼會保持不變。

對於 ALTER USER，如果您變更指派給帳戶的驗證外掛程式，則會捨棄次要密碼。如果您變更驗證外掛程式，並同時指定 RETAIN CURRENT PASSWORD，則陳述式會失敗。

對於 ALTER USER，DISCARD OLD PASSWORD 會捨棄次要密碼（如果存在）。該帳戶僅保留其主密碼，並且用戶端只能使用主密碼連線到伺服器。

使用 ALTER USER 和 SET PASSWORD 陳述式的 RETAIN CURRENT PASSWORD 或 DISCARD OLD PASSWORD 子句，套用至您自己的帳戶時，需要 APPLICATION_PASSWORD_ADMIN 權限。由於大多數使用者只需要一個密碼，因此需要此權限來操作您自己的次要密碼。

如果允許帳戶操作所有帳戶的次要密碼，則應授予其 CREATE USER 權限，而不是 APPLICATION_PASSWORD_ADMIN。

FAILED_LOGIN_ATTEMPTS N

此選項表示是否追蹤指定不正確密碼的帳戶登入嘗試次數。數字 N 指定多少次連續不正確密碼會導致帳戶暫時鎖定。

PASSWORD_LOCK_TIME {N | UNBOUNDED}

此選項表示在連續登入嘗試次數過多並提供不正確密碼後，帳戶鎖定的時間長度。值是一個數字 N，用於指定帳戶保持鎖定的天數，或者 UNBOUNDED，用於指定當帳戶進入暫時鎖定狀態時，該狀態的持續時間是無限的，直到帳戶被解除鎖定才會結束。稍後將說明解除鎖定發生的條件。

若要使帳戶發生失敗登入追蹤和暫時鎖定，其 FAILED_LOGIN_ATTEMPTS 和 PASSWORD_LOCK_TIME 選項都必須是非零值。

對於 CREATE USER，如果未指定 FAILED_LOGIN_ATTEMPTS 或 PASSWORD_LOCK_TIME，則該陳述式中命名的所有帳戶的隱含預設值為 0。這表示已停用失敗登入追蹤和暫時帳戶鎖定。

對於 ALTER USER，如果未指定 FAILED_LOGIN_ATTEMPTS 或 PASSWORD_LOCK_TIME，則該陳述式中命名的所有帳戶的值保持不變。

若要發生暫時帳戶鎖定，密碼失敗必須是連續的。在達到失敗登入的 FAILED_LOGIN_ATTEMPTS 值之前發生的任何成功登入都會導致失敗計數重置。例如，如果 FAILED_LOGIN_ATTEMPTS 為 4 且發生了三次連續密碼失敗，則還需要一次失敗才會開始鎖定。但是，如果下一次登入成功，則該帳戶的失敗登入計數會重置，因此再次需要四次連續失敗才會鎖定。

一旦開始暫時鎖定，即使使用正確的密碼也無法成功登入，直到鎖定持續時間過去或帳戶透過以下討論中列出的帳戶重置方法之一解除鎖定為止。

在以下任何情況下，所有帳戶都會發生全域重置：

在以下任何情況下，會發生每個帳戶的重置：