身份验证因素通常包括以下类型的信息

“您知道的东西”因素类型依赖于在身份验证过程的双方之间保持秘密的信息。不幸的是，秘密可能会受到损害：有人可能会看到您输入密码或使用网络钓鱼攻击欺骗您，服务器端存储的密码可能会因安全漏洞而暴露，等等。使用多个密码可以提高安全性，但每个密码仍然可能受到损害。使用其他因素类型可以降低损害风险，提高安全性。

MySQL 中多因素身份验证的实现包括以下元素

authentication_policy 系统变量定义了多因素身份验证策略。具体而言，它定义了帐户可以拥有（或需要拥有）多少个身份验证因素，以及每个因素可以使用哪些身份验证方法。

authentication_policy 的值是一个包含 1、2 或 3 个以逗号分隔的元素的列表。列表中的每个元素对应于一个身份验证因素，可以是身份验证插件名称、星号 (*)、空或缺失。（例外：元素 1 不能为空或缺失。）整个列表用单引号括起来。例如，以下 authentication_policy 值包含一个星号、一个身份验证插件名称和一个空元素

authentication_policy = '*,authentication_webauthn,'

星号 (*) 表示需要身份验证方法，但允许使用任何方法。空元素表示身份验证方法是可选的，并且允许使用任何方法。缺失元素（没有星号、空元素或身份验证插件名称）表示不允许使用身份验证方法。指定插件名称时，在创建或修改帐户时，相应的因素需要该身份验证方法。

默认 authentication_policy 值为 '*,,'（一个星号和两个空元素），这需要第一个因素，并可以选择允许第二个和第三个因素。因此，默认的 authentication_policy 值与现有 1FA 帐户向后兼容，但也允许创建或修改帐户以使用 2FA 或 3FA。

拥有 AUTHENTICATION_POLICY_ADMIN 权限的用户不受 authentication_policy 设置施加的约束影响。（对于原本不允许的语句会发出警告。）

可以在选项文件中定义 authentication_policy 值，或者使用 SET GLOBAL 语句指定。

SET GLOBAL authentication_policy='*,*,';

定义 authentication_policy 值有多条规则。有关这些规则的完整说明，请参阅 authentication_policy 系统变量描述。下表提供了几个 authentication_policy 示例值及其建立的策略。

允许创建或更改具有两个或三个因素的帐户，其中第一个因素必须是指定的插件。

'auth_plugin,auth_plugin,auth_plugin'

CREATE USER 'alice'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com';

允许创建或更改具有三个因素的帐户，其中因素必须使用指定的插件。

$> mysql --user=alice --password1 --password2
Enter password: (enter factor 1 password)
Enter password: (enter factor 2 password)

多因素身份验证入门

DROP USER 'alice'@'localhost';
  
CREATE USER 'alice'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com'
  AND IDENTIFIED WITH authentication_webauthn;

默认情况下，MySQL 使用多因素身份验证策略，允许第一个因素使用任何身份验证插件，并可以选择允许第二个和第三个身份验证因素。该策略是可配置的；有关详细信息，请参阅 配置多因素身份验证策略。

ALTER USER 'alice'@'localhost' ADD 3 FACTOR IDENTIFIED WITH authentication_webauthn;

注意

ALTER USER 'alice'@'localhost' DROP 3 FACTOR;

不允许对因素 2 或 3 使用任何内部凭据存储插件 (caching_sha2_password 或 mysql_native_password)。

ALTER USER 'alice'@'localhost' MODIFY 2 FACTOR IDENTIFIED WITH authentication_webauthn;

假设您希望帐户先使用 caching_sha2_password 插件进行身份验证，然后再使用 authentication_ldap_sasl SASL LDAP 插件进行身份验证。（这假设已按照 第 8.4.1.7 节，“LDAP 可插拔身份验证” 中的说明设置了 LDAP 身份验证，并且用户在 LDAP 目录中具有与示例中所示的身份验证字符串相对应的条目。）使用类似于以下语句的语句创建帐户

SHOW CREATE USER 'u1'@'localhost'\G
*************************** 1. row ***************************
CREATE USER for u1@localhost: CREATE USER `u1`@`localhost` 
IDENTIFIED WITH 'caching_sha2_password' AS 'sha2_password' 
AND IDENTIFIED WITH 'authentication_authn' REQUIRE NONE 
PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCK PASSWORD HISTORY 
DEFAULT PASSWORD REUSE INTERVAL DEFAULT PASSWORD REQUIRE 
CURRENT DEFAULT