驗證：預設驗證外掛程式（如預設驗證外掛程式中所述決定）和空憑證

預設角色：NONE

SSL/TLS：NONE

資源限制：無限制

密碼管理：PASSWORD EXPIRE DEFAULT PASSWORD HISTORY DEFAULT PASSWORD REUSE INTERVAL DEFAULT PASSWORD REQUIRE CURRENT DEFAULT；停用登入失敗追蹤和暫時帳戶鎖定

帳戶鎖定：ACCOUNT UNLOCK

連線必須使用有效的 X.509 憑證。

每小時最多允許 60 個查詢。

密碼變更不能重複使用最近五個密碼中的任何一個。

帳戶最初處於鎖定狀態，因此實際上它是一個佔位符，直到管理員解除鎖定才能使用。

auth_plugin 命名驗證外掛程式。外掛程式名稱可以是帶引號的字串文字或不帶引號的名稱。外掛程式名稱儲存在 mysql.user 系統資料表的 plugin 欄中。

對於未指定驗證外掛程式的 auth_option 語法，伺服器會指派預設外掛程式，如預設驗證外掛程式中所述決定。有關每個外掛程式的說明，請參閱 第 8.4.1 節，「驗證外掛程式」。

內部儲存的憑證會儲存在 mysql.user 系統表格中。 'auth_string' 值或 RANDOM PASSWORD 分別指定帳戶憑證，可以是以純文字（未加密）字串或以與該帳戶相關聯的驗證外掛程式所預期的格式進行雜湊處理。

IDENTIFIED BY 'auth_string'

將帳戶驗證外掛程式設定為預設外掛程式，將純文字 'auth_string' 值傳遞給外掛程式以進行可能的雜湊處理，並將結果儲存在 mysql.user 系統表格中的帳戶列中。

IDENTIFIED BY RANDOM PASSWORD

將帳戶驗證外掛程式設定為預設外掛程式，產生一個隨機密碼，將純文字密碼值傳遞給外掛程式以進行可能的雜湊處理，並將結果儲存在 mysql.user 系統表格中的帳戶列中。該語句還會在結果集中傳回純文字密碼，以使其可供執行該語句的使用者或應用程式使用。有關結果集和隨機產生密碼特性的詳細資訊，請參閱隨機密碼產生。

IDENTIFIED WITH auth_plugin

將帳戶驗證外掛程式設定為 auth_plugin，將憑證清除為空字串，並將結果儲存在 mysql.user 系統表格中的帳戶列中。

IDENTIFIED WITH auth_plugin BY 'auth_string'

將帳戶驗證外掛程式設定為 auth_plugin，將純文字 'auth_string' 值傳遞給外掛程式以進行可能的雜湊處理，並將結果儲存在 mysql.user 系統表格中的帳戶列中。

IDENTIFIED WITH auth_plugin BY RANDOM PASSWORD

將帳戶驗證外掛程式設定為 auth_plugin，產生一個隨機密碼，將純文字密碼值傳遞給外掛程式以進行可能的雜湊處理，並將結果儲存在 mysql.user 系統表格中的帳戶列中。該語句還會在結果集中傳回純文字密碼，以使其可供執行該語句的使用者或應用程式使用。有關結果集和隨機產生密碼特性的詳細資訊，請參閱隨機密碼產生。

IDENTIFIED WITH auth_plugin AS 'auth_string'

將帳戶驗證外掛程式設定為 auth_plugin，並按原樣將 'auth_string' 值儲存在 mysql.user 帳戶列中。如果外掛程式需要雜湊字串，則假設該字串已經以該外掛程式所需的格式進行雜湊。

2fa_auth_option：指定因素 2 驗證方法。以下範例定義 caching_sha2_password 作為因素 1 驗證方法，並定義 authentication_ldap_sasl 作為因素 2 驗證方法。

CREATE USER 'u1'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com';

3fa_auth_option：在 2fa_auth_option 之後，可能會出現 3fa_auth_option 子句，以指定因素 3 驗證方法。以下範例定義 caching_sha2_password 作為因素 1 驗證方法，authentication_ldap_sasl 作為因素 2 驗證方法，以及 authentication_webauthn 作為因素 3 驗證方法。

CREATE USER 'u1'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com'
  AND IDENTIFIED WITH authentication_webauthn;

initial_auth_option：指定用於設定 FIDO/FIDO2 無密碼驗證的初始驗證方法。如下所示，需要使用產生的隨機密碼或使用者指定的 auth-string 進行臨時驗證，才能啟用 WebAuthn 無密碼驗證。

CREATE USER user
  IDENTIFIED WITH authentication_webauthn
  INITIAL AUTHENTICATION IDENTIFIED BY {RANDOM PASSWORD | 'auth_string'};

有關使用 WebAuthn 可外掛式驗證設定無密碼驗證的資訊，請參閱WebAuthn 無密碼驗證。

NONE

表示語句中指定的所有帳戶都不需要 SSL 或 X.509 要求。如果使用者名稱和密碼有效，則允許未加密的連線。如果用戶端具有適當的憑證和金鑰檔案，則可以選擇使用加密連線。

CREATE USER 'jeffrey'@'localhost' REQUIRE NONE;

用戶端預設會嘗試建立安全連線。對於具有 REQUIRE NONE 的用戶端，如果無法建立安全連線，連線嘗試會回退到未加密的連線。若要要求加密連線，用戶端只需要指定 --ssl-mode=REQUIRED 選項；如果無法建立安全連線，連線嘗試將會失敗。

如果未指定任何與 SSL 相關的 REQUIRE 選項，則預設值為 NONE。

SSL

告知伺服器僅允許語句中指定的所有帳戶使用加密連線。

CREATE USER 'jeffrey'@'localhost' REQUIRE SSL;

用戶端預設會嘗試建立安全連線。對於具有 REQUIRE SSL 的帳戶，如果無法建立安全連線，連線嘗試將會失敗。

X509

對於語句中指定的所有帳戶，要求用戶端提供有效的憑證，但確切的憑證、發行者和主體並不重要。唯一的要求是應該可以使用其中一個 CA 憑證驗證其簽名。使用 X.509 憑證始終表示加密，因此在這種情況下，SSL 選項是不必要的。

CREATE USER 'jeffrey'@'localhost' REQUIRE X509;

對於具有 REQUIRE X509 的帳戶，用戶端必須指定 --ssl-key 和 --ssl-cert 選項才能連線。（建議但不要求也指定 --ssl-ca，以便可以驗證伺服器提供的公用憑證。）ISSUER 和 SUBJECT 也是如此，因為這些 REQUIRE 選項暗示了 X509 的要求。

ISSUER 'issuer'

對於語句中指定的所有帳戶，要求用戶端提供由 CA 'issuer' 發行的有效 X.509 憑證。如果用戶端提供的憑證有效但發行者不同，伺服器將拒絕連線。使用 X.509 憑證始終表示加密，因此在這種情況下，SSL 選項是不必要的。

CREATE USER 'jeffrey'@'localhost'
  REQUIRE ISSUER '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL/CN=CA/emailAddress=ca@example.com';

因為 ISSUER 暗示了 X509 的要求，所以用戶端必須指定 --ssl-key 和 --ssl-cert 選項才能連線。（建議但不要求也指定 --ssl-ca，以便可以驗證伺服器提供的公用憑證。）

SUBJECT 'subject'

對於語句中指定的所有帳戶，要求用戶端提供包含主體 subject 的有效 X.509 憑證。如果用戶端提供的憑證有效但主體不同，伺服器將拒絕連線。使用 X.509 憑證始終表示加密，因此在這種情況下，SSL 選項是不必要的。

CREATE USER 'jeffrey'@'localhost'
  REQUIRE SUBJECT '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL demo client certificate/
    CN=client/emailAddress=client@example.com';

MySQL 對 'subject' 值與憑證中的值進行簡單的字串比較，因此字母大小寫和元件順序必須與憑證中呈現的完全一致。

因為 SUBJECT 暗示了 X509 的要求，所以用戶端必須指定 --ssl-key 和 --ssl-cert 選項才能連線。（建議但不要求也指定 --ssl-ca，以便可以驗證伺服器提供的公用憑證。）

CIPHER 'cipher'

對於語句中指定的所有帳戶，要求使用特定的加密方法來加密連線。需要此選項來確保使用足夠強度的密碼和金鑰長度。如果使用使用短加密金鑰的舊演算法，加密可能會很弱。

CREATE USER 'jeffrey'@'localhost'
  REQUIRE CIPHER 'EDH-RSA-DES-CBC3-SHA';

MAX_QUERIES_PER_HOUR count、MAX_UPDATES_PER_HOUR count、MAX_CONNECTIONS_PER_HOUR count

對於語句中指定的所有帳戶，這些選項限制在任何給定的 1 小時期間內，每個帳戶允許對伺服器進行多少個查詢、更新和連線。如果 count 為 0（預設值），則表示該帳戶沒有限制。

MAX_USER_CONNECTIONS count

對於語句中指定的所有帳戶，限制每個帳戶對伺服器同時連線的最大數量。非零的 count 會明確指定帳戶的限制。如果 count 為 0（預設值），伺服器會從 max_user_connections 系統變數的全局值確定帳戶的同時連線數。如果 max_user_connections 也為零，則該帳戶沒有限制。

密碼過期選項：您可以手動使帳戶密碼過期，並建立其密碼過期原則。原則選項不會使密碼過期。相反地，它們會根據密碼的使用期限決定伺服器如何對帳戶應用自動過期，而密碼的使用期限是根據最近一次變更帳戶密碼的日期和時間來評估的。

密碼重複使用選項：您可以根據密碼變更次數、經過的時間或兩者來限制密碼的重複使用。

密碼驗證必要選項：您可以指出嘗試變更帳戶密碼是否必須指定目前的密碼，以驗證嘗試進行變更的使用者實際上知道目前的密碼。

錯誤密碼登入失敗追蹤選項：您可以使伺服器追蹤登入失敗的嘗試，並暫時鎖定提供過多連續錯誤密碼的帳戶。所需的失敗次數和鎖定時間是可設定的。

PASSWORD EXPIRE

立即將語句中指定的所有帳戶的密碼標記為過期。

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE;

PASSWORD EXPIRE DEFAULT

設定語句中指定的所有帳戶，使其套用全域過期原則，如 default_password_lifetime 系統變數所指定。

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE DEFAULT;

PASSWORD EXPIRE NEVER

此過期選項會覆蓋語句中指定的所有帳戶的全局原則。對於每個帳戶，它會停用密碼過期，以便密碼永遠不會過期。

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE NEVER;

PASSWORD EXPIRE INTERVAL N DAY

此過期選項會覆蓋語句中指定的所有帳戶的全局原則。對於每個帳戶，它會將密碼的使用期限設定為 N 天。以下陳述式要求每 180 天變更密碼

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE INTERVAL 180 DAY;

PASSWORD HISTORY DEFAULT

設定語句中指定的所有帳戶，使其套用關於密碼歷史記錄長度的全局原則，以禁止重複使用密碼，直到密碼變更次數達到 password_history 系統變數所指定的次數。

CREATE USER 'jeffrey'@'localhost' PASSWORD HISTORY DEFAULT;

PASSWORD HISTORY N

此歷史記錄長度選項會覆蓋語句中指定的所有帳戶的全局原則。對於每個帳戶，它會將密碼歷史記錄長度設定為 N 個密碼，以禁止重複使用最近選擇的 N 個密碼中的任何一個。以下陳述式禁止重複使用先前 6 個密碼中的任何一個

CREATE USER 'jeffrey'@'localhost' PASSWORD HISTORY 6;

PASSWORD REUSE INTERVAL DEFAULT

設定帳戶中所有指定的陳述式，使其套用關於時間經過的全局策略，以禁止重複使用比系統變數 password_reuse_interval 所指定天數更新的密碼。

CREATE USER 'jeffrey'@'localhost' PASSWORD REUSE INTERVAL DEFAULT;

PASSWORD REUSE INTERVAL N DAY

此時間經過選項會覆寫陳述式中所有帳戶的全局策略。對於每個帳戶，它會將密碼重複使用間隔設定為 N 天，以禁止重複使用比該天數更新的密碼。以下陳述式禁止在 360 天內重複使用密碼：

CREATE USER 'jeffrey'@'localhost' PASSWORD REUSE INTERVAL 360 DAY;

PASSWORD REQUIRE CURRENT

此驗證選項會覆寫陳述式中所有帳戶的全局策略。對於每個帳戶，它會要求密碼變更必須指定目前密碼。

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT;

PASSWORD REQUIRE CURRENT OPTIONAL

此驗證選項會覆寫陳述式中所有帳戶的全局策略。對於每個帳戶，它不要求密碼變更必須指定目前密碼。（可以給出目前密碼，但並非必要。）

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT OPTIONAL;

PASSWORD REQUIRE CURRENT DEFAULT

設定帳戶中所有指定的陳述式，使其套用關於密碼驗證的全局策略，如系統變數 password_require_current 所指定。

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT DEFAULT;

FAILED_LOGIN_ATTEMPTS N

是否追蹤指定錯誤密碼的帳戶登入嘗試。N 必須是 0 到 32767 的數字。值為 0 會停用失敗登入追蹤。大於 0 的值表示多少次連續密碼失敗會導致暫時帳戶鎖定（如果 PASSWORD_LOCK_TIME 也非零）。

PASSWORD_LOCK_TIME {N | UNBOUNDED}

在太多連續登入嘗試提供錯誤密碼後，帳戶鎖定的時間長度。N 必須是 0 到 32767 的數字，或 UNBOUNDED。值為 0 會停用暫時帳戶鎖定。大於 0 的值表示帳戶鎖定的天數長度。值為 UNBOUNDED 會使帳戶鎖定持續時間無限期；一旦鎖定，帳戶將保持鎖定狀態，直到解除鎖定。有關解除鎖定發生的條件資訊，請參閱 失敗登入追蹤和暫時帳戶鎖定。

使用者註解

若要設定使用者註解，請將 COMMENT 'user_comment' 新增至 CREATE USER 陳述式，其中 user_comment 是使用者註解的文字。

範例（省略任何其他選項）：

CREATE USER 'jon'@'localhost' COMMENT 'Some information about Jon';

使用者屬性

使用者屬性是由一個或多個鍵值對組成的 JSON 物件，並透過在 CREATE USER 中包含 ATTRIBUTE 'json_object' 來設定。json_object 必須是有效的 JSON 物件。

範例（省略任何其他選項）：

CREATE USER 'jim'@'localhost'
    ATTRIBUTE '{"fname": "James", "lname": "Scott", "phone": "123-456-7890"}';

如果指定了，則為原始陳述式中命名的外掛程式。

否則，為預設身份驗證外掛程式。特別是，如果使用者 u1 已經存在並使用非預設身份驗證外掛程式，則為 CREATE USER IF NOT EXISTS u1 寫入二進位日誌的陳述式會命名預設身份驗證外掛程式。（如果寫入二進位日誌的陳述式必須為使用者指定非預設身份驗證外掛程式，請將其包含在原始陳述式中。）

CREATE USER ... IDENTIFIED WITH .. INITIAL AUTHENTICATION IDENTIFIED WITH ... 陳述式會以 CREATE USER .. IDENTIFIED WITH .. INITIAL AUTHENTICATION IDENTIFIED WITH .. AS 'password-hash' 的形式寫入二進位日誌，其中 password-hash 是使用者指定的 auth-string 或指定 RANDOM PASSWORD 子句時伺服器產生的隨機密碼。