某些身分驗證外掛程式會在 MySQL 內部，也就是 mysql.user 系統資料表中儲存帳戶憑證。

本節中的大部分討論都適用於這類身分驗證外掛程式，因為這裡描述的大多數密碼管理功能都是基於 MySQL 本身處理的內部憑證儲存。其他身分驗證外掛程式則會在 MySQL 外部儲存帳戶憑證。對於使用針對外部憑證系統執行驗證的外掛程式的帳戶，密碼管理也必須在外部針對該系統進行處理。

例外情況是，失敗登入追蹤和暫時帳戶鎖定的選項適用於所有帳戶，而不僅僅是使用內部憑證儲存的帳戶，因為 MySQL 能夠評估任何帳戶的登入嘗試狀態，無論它是否使用內部或外部憑證儲存。

如需個別身分驗證外掛程式的相關資訊，請參閱第 8.4.1 節〈身分驗證外掛程式〉。

MySQL 可讓資料庫管理員手動使帳戶密碼到期，並建立自動密碼到期原則。可以全域建立到期原則，並且可以將個別帳戶設定為遵從全域原則，或使用特定的個別帳戶行為來覆寫全域原則。

若要手動使帳戶密碼到期，請使用 ALTER USER 陳述式

ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE;

此操作會在 mysql.user 系統資料表中對應的列中將密碼標示為已到期。

根據原則的密碼到期是自動的，並且基於密碼的時效，對於給定的帳戶，密碼時效會根據其最近一次密碼變更的日期和時間進行評估。 mysql.user 系統資料表會指出每個帳戶上次變更密碼的時間，如果密碼時效超過其允許的存留時間，伺服器會在用戶端連線時自動將密碼視為已到期。這會在沒有明確的手動密碼到期的情況下運作。

若要全域建立自動密碼到期原則，請使用 default_password_lifetime 系統變數。其預設值為 0，這會停用自動密碼到期。如果 default_password_lifetime 的值為正整數 N，則表示允許的密碼存留時間，使得密碼必須每 N 天變更一次。

範例

全域密碼到期原則適用於所有尚未設定為覆寫該原則的帳戶。若要為個別帳戶建立原則，請使用 CREATE USER 和 ALTER USER 陳述式的 PASSWORD EXPIRE 選項。請參閱第 15.7.1.3 節〈CREATE USER 陳述式〉，以及第 15.7.1.1 節〈ALTER USER 陳述式〉。

帳戶特定陳述式的範例

當用戶端成功連線時，伺服器會判斷帳戶密碼是否已到期

如果密碼已到期（無論是手動還是自動），伺服器會斷開用戶端連線或限制允許用戶端執行的操作（請參閱第 8.2.16 節〈伺服器處理過期密碼〉）。在使用者建立新的帳戶密碼之前，受限制的用戶端執行的操作會導致錯誤

mysql> SELECT 1;
ERROR 1820 (HY000): You must reset your password using ALTER USER
statement before executing this statement.

mysql> ALTER USER USER() IDENTIFIED BY 'password';
Query OK, 0 rows affected (0.01 sec)

mysql> SELECT 1;
+---+
| 1 |
+---+
| 1 |
+---+
1 row in set (0.00 sec)

在用戶端重設密碼之後，伺服器會還原此工作階段以及後續使用該帳戶之連線的正常存取權。管理使用者也可以重設帳戶密碼，但是該帳戶的任何現有受限工作階段仍會保持受限。使用該帳戶的用戶端必須斷開連線並重新連線，才能成功執行陳述式。

MySQL 可讓您限制重複使用先前的密碼。重複使用限制可以根據密碼變更次數、經過的時間或兩者一起建立。可以全域建立重複使用原則，並且可以將個別帳戶設定為遵從全域原則，或使用特定的個別帳戶行為來覆寫全域原則。

帳戶的密碼歷程記錄包含其過去曾指派的密碼。MySQL 可以限制從此歷程記錄中選擇新密碼

若要全域建立密碼重複使用原則，請使用 password_history 和 password_reuse_interval 系統變數。

範例

全域密碼重複使用原則適用於所有尚未設定為覆寫該原則的帳戶。若要為個別帳戶建立原則，請使用 CREATE USER 和 ALTER USER 陳述式的 PASSWORD HISTORY 和 PASSWORD REUSE INTERVAL 選項。請參閱第 15.7.1.3 節〈CREATE USER 陳述式〉，以及第 15.7.1.1 節〈ALTER USER 陳述式〉。

帳戶特定陳述式的範例

可以要求嘗試變更帳戶密碼時，必須指定要取代的目前密碼進行驗證。這可讓 DBA 防止使用者在未證明他們知道目前密碼的情況下變更密碼。否則，可能會發生此類變更，例如，如果某個使用者暫時離開終端機工作階段而不登出，並且惡意使用者使用該工作階段來變更原始使用者的 MySQL 密碼。這可能會產生不幸的後果

可以全域建立密碼驗證原則，並且可以將個別帳戶設定為遵從全域原則，或使用特定的個別帳戶行為來覆寫全域原則。

對於每個帳戶，其 mysql.user 列會指出是否有帳戶特定的設定，要求針對密碼變更嘗試驗證目前密碼。此設定是由 CREATE USER 和 ALTER USER 陳述式的 PASSWORD REQUIRE 選項所建立

換句話說，如果帳戶設定不是 PASSWORD REQUIRE CURRENT DEFAULT，則帳戶設定會優先於 password_require_current 系統變數建立的全域原則。否則，帳戶會遵從 password_require_current 設定。

預設情況下，密碼驗證是可選的：password_require_current 已停用，且在建立帳戶時沒有使用 PASSWORD REQUIRE 選項，則會預設為 PASSWORD REQUIRE CURRENT DEFAULT。

下表顯示每個帳戶的設定如何與 password_require_current 系統變數值互動，以判斷帳戶密碼是否需要驗證的原則。

若要全域建立密碼驗證原則，請使用 password_require_current 系統變數。其預設值為 OFF，因此變更帳戶密碼時不需要指定目前的密碼。

範例

全域密碼驗證原則適用於所有未設定為覆寫此原則的帳戶。若要為個別帳戶建立原則，請使用 CREATE USER 和 ALTER USER 陳述式的 PASSWORD REQUIRE 選項。請參閱 第 15.7.1.3 節，〈CREATE USER 陳述式〉，以及 第 15.7.1.1 節，〈ALTER USER 陳述式〉。

帳戶特定陳述式的範例

當使用者使用 ALTER USER 或 SET PASSWORD 陳述式變更密碼時，就會啟用目前密碼的驗證。範例使用 ALTER USER，其優先於 SET PASSWORD，但這裡描述的原則對於這兩個陳述式都相同。

在變更密碼陳述式中，REPLACE 子句會指定要取代的目前密碼。範例

REPLACE 子句的運作方式如下

使用者帳戶允許擁有雙重密碼，分別指定為主密碼和次要密碼。雙重密碼功能可讓您在如下案例中無縫執行認證變更

考慮當允許帳戶只使用單一密碼時，在前述類型的案例中必須如何執行認證變更。在這種情況下，必須密切合作，才能掌握變更帳戶密碼並將變更傳播到所有伺服器的時機，以及更新所有使用該帳戶的應用程式以使用新密碼的時機。此程序可能需要停機時間，在這段時間內，伺服器或應用程式將無法使用。

使用雙重密碼，可以更輕鬆地分階段進行認證變更，而無需密切合作，且不會停機

MySQL 使用語法來實作雙重密碼功能，這些語法可儲存和捨棄次要密碼

假設在先前描述的認證變更案例中，應用程式使用名為 'appuser1'@'host1.example.com' 的帳戶連線到伺服器，並且帳戶密碼將從 'password_a' 變更為 'password_b'。

若要執行此認證變更，請使用 ALTER USER，如下所示

RETAIN CURRENT PASSWORD 和 DISCARD OLD PASSWORD 子句具有下列影響

修改次要密碼的語句需要以下權限：

CREATE USER、ALTER USER 和 SET PASSWORD 語句可以為使用者帳戶產生隨機密碼，作為要求明確管理員指定文字密碼的替代方案。有關語法的詳細資訊，請參閱每個語句的描述。本節描述產生之隨機密碼的常見特性。

預設情況下，產生的隨機密碼長度為 20 個字元。此長度由系統變數 generated_random_password_length 控制，其範圍從 5 到 255。

對於語句為其產生隨機密碼的每個帳戶，該語句會將密碼儲存在 mysql.user 系統表中，並針對帳戶驗證外掛程式進行適當的雜湊處理。該語句還會在結果集的一列中傳回明文密碼，使其可供執行該語句的使用者或應用程式使用。結果集的欄位名稱為 user、host、generated password 和 auth_factor，分別表示識別 mysql.user 系統表中受影響列的使用者名稱和主機名稱值、產生的明文密碼以及顯示的密碼值所適用的驗證因子。

mysql> CREATE USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD,
       'u3'@'%.org' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | iOeqf>Mh9:;XD&qn(Hl} |           1 |
| u2   | %.example.com | sXTSAEvw3St-R+_-C3Vb |           1 |
| u3   | %.org         | nEVe%Ctw/U/*Md)Exc7& |           1 |
+------+---------------+----------------------+-------------+
mysql> ALTER USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | Seiei:&cw}8]@3OA64vh |           1 |
| u2   | %.example.com | j@&diTX80l8}(NiHXSae |           1 |
+------+---------------+----------------------+-------------+
mysql> SET PASSWORD FOR 'u3'@'%.org' TO RANDOM;
+------+-------+----------------------+-------------+
| user | host  | generated password   | auth_factor |
+------+-------+----------------------+-------------+
| u3   | %.org | n&cz2xF;P3!U)+]Vw52H |           1 |
+------+-------+----------------------+-------------+

為帳戶產生隨機密碼的 CREATE USER、ALTER USER 或 SET PASSWORD 語句會以 CREATE USER 或 ALTER USER 語句的形式寫入二進位日誌，其中包含 IDENTIFIED WITH auth_plugin AS 'auth_string' 子句，其中 auth_plugin 是帳戶驗證外掛程式，而 'auth_string' 是帳戶的雜湊密碼值。

如果已安裝 validate_password 元件，則其執行的原則對產生的密碼沒有影響。（密碼驗證的目的是協助人類建立更好的密碼。）

管理員可以設定使用者帳戶，使連續登入失敗次數過多導致臨時帳戶鎖定。

在此上下文中，「登入失敗」表示用戶端在連線嘗試期間未能提供正確的密碼。它不包括因未知使用者或網路問題等原因導致的連線失敗。對於具有雙密碼的帳戶（請參閱 雙密碼支援），任何一個帳戶密碼都視為正確。

使用 CREATE USER 和 ALTER USER 語句的 FAILED_LOGIN_ATTEMPTS 和 PASSWORD_LOCK_TIME 選項，可以針對每個帳戶設定所需的登入失敗次數和鎖定時間。範例

CREATE USER 'u1'@'localhost' IDENTIFIED BY 'password'
  FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 3;

ALTER USER 'u2'@'localhost'
  FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME UNBOUNDED;

當連續登入失敗次數過多時，用戶端會收到如下所示的錯誤

ERROR 3957 (HY000): Access denied for user user.
Account is blocked for D day(s) (R day(s) remaining)
due to N consecutive failed logins.

按如下方式使用選項

每個選項的 N 允許值範圍為 0 到 32767。值 0 會停用該選項。

失敗登入追蹤和臨時帳戶鎖定具有以下特性

當伺服器讀取授權表時，它會初始化每個帳戶的狀態資訊，包括是否啟用失敗登入追蹤、帳戶目前是否處於臨時鎖定狀態（如果處於鎖定狀態則包括鎖定開始時間），以及在帳戶未鎖定的情況下在臨時鎖定之前發生的失敗次數。

帳戶的狀態資訊可以重設，這表示失敗登入計數將被重設，並且如果目前處於臨時鎖定狀態，則該帳戶將被解除鎖定。帳戶重設可以是針對所有帳戶的全局重設，也可以是每個帳戶的重設。

失敗登入追蹤與用於檢查認證的登入帳戶相關聯。如果正在使用使用者代理，則會追蹤代理使用者，而不是被代理使用者。也就是說，追蹤與 USER() 指示的帳戶相關聯，而不是與 CURRENT_USER() 指示的帳戶相關聯。有關代理使用者和被代理使用者之間區別的資訊，請參閱 第 8.2.19 節「代理使用者」。