某些身份验证插件将帐户凭据存储在 MySQL 内部，位于 mysql.user 系统表中：

本节中的大多数讨论都适用于此类身份验证插件，因为此处描述的大多数密码管理功能都基于 MySQL 本身处理的内部凭据存储。其他身份验证插件将帐户凭据存储在 MySQL 外部。对于使用插件针对外部凭据系统执行身份验证的帐户，也必须针对该系统在外部处理密码管理。

例外情况是，登录失败跟踪和临时帐户锁定选项适用于所有帐户，而不仅仅是使用内部凭据存储的帐户，因为无论帐户使用的是内部凭据存储还是外部凭据存储，MySQL 都能够评估其登录尝试的状态。

有关各个身份验证插件的信息，请参阅第 8.4.1 节 “身份验证插件”。

MySQL 允许数据库管理员手动使帐户密码过期，并建立自动密码过期策略。过期策略可以在全局范围内建立，并且可以将单个帐户设置为遵循全局策略或使用特定于每个帐户的行为覆盖全局策略。

要手动使帐户密码过期，请使用 ALTER USER 语句：

ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE;

此操作将 mysql.user 系统表中相应行中的密码标记为过期。

根据策略进行的密码过期是自动的，并且基于密码的使用期限，对于给定帐户，密码的使用期限是从其最近一次密码更改的日期和时间开始计算的。mysql.user 系统表会指示每个帐户的密码上次更改时间，如果密码的使用期限超过其允许的生存期，则服务器会在客户端连接时自动将密码视为过期。这无需任何明确的手动密码过期操作即可工作。

要全局建立自动密码过期策略，请使用 default_password_lifetime 系统变量。其默认值为 0，表示禁用自动密码过期。如果 default_password_lifetime 的值为正整数 N，则表示允许的密码生存期，即必须每隔 N 天更改一次密码。

示例

全局密码过期策略适用于所有尚未设置为覆盖它的帐户。要为单个帐户建立策略，请使用 CREATE USER 和 ALTER USER 语句的 PASSWORD EXPIRE 选项。请参阅 第 15.7.1.3 节，“CREATE USER 语句” 和 第 15.7.1.1 节，“ALTER USER 语句”。

特定于帐户的语句示例

当客户端成功连接时，服务器会确定帐户密码是否已过期

如果密码已过期（无论是手动还是自动过期），服务器都会断开客户端连接或限制允许其执行的操作（请参阅 第 8.2.16 节，“服务器对过期密码的处理”）。受限客户端执行的操作会导致错误，直到用户建立新的帐户密码

mysql> SELECT 1;
ERROR 1820 (HY000): You must reset your password using ALTER USER
statement before executing this statement.

mysql> ALTER USER USER() IDENTIFIED BY 'password';
Query OK, 0 rows affected (0.01 sec)

mysql> SELECT 1;
+---+
| 1 |
+---+
| 1 |
+---+
1 row in set (0.00 sec)

客户端重置密码后，服务器会为该会话以及使用该帐户的后续连接恢复正常访问。管理员用户也可以重置帐户密码，但该帐户的任何现有受限会话将保持受限状态。使用该帐户的客户端必须断开连接并重新连接，然后才能成功执行语句。

MySQL 允许对先前密码的重用施加限制。可以根据密码更改次数、经过时间或两者来建立重用限制。可以全局建立重用策略，并且可以将单个帐户设置为遵循全局策略或使用特定于帐户的行为覆盖全局策略。

帐户的密码历史记录由其过去分配的密码组成。MySQL 可以限制从该历史记录中选择新密码

要全局建立密码重用策略，请使用 password_history 和 password_reuse_interval 系统变量。

示例

全局密码重用策略适用于所有尚未设置为覆盖它的帐户。要为单个帐户建立策略，请使用 CREATE USER 和 ALTER USER 语句的 PASSWORD HISTORY 和 PASSWORD REUSE INTERVAL 选项。请参阅 第 15.7.1.3 节，“CREATE USER 语句” 和 第 15.7.1.1 节，“ALTER USER 语句”。

特定于帐户的语句示例

可以通过指定要替换的当前密码来要求验证更改帐户密码的尝试。这使数据库管理员能够防止用户在未证明自己知道当前密码的情况下更改密码。否则可能会发生此类更改，例如，如果一个用户暂时离开终端会话而未注销，而恶意用户使用该会话更改原始用户的 MySQL 密码。这可能会产生不幸的后果

可以全局建立密码验证策略，并且可以将单个帐户设置为遵循全局策略或使用特定于帐户的行为覆盖全局策略。

对于每个帐户，其 mysql.user 行指示是否存在特定于帐户的设置，该设置要求在尝试更改密码时验证当前密码。该设置由 CREATE USER 和 ALTER USER 语句的 PASSWORD REQUIRE 选项建立

换句话说，如果帐户设置不是 PASSWORD REQUIRE CURRENT DEFAULT，则帐户设置优先于 password_require_current 系统变量建立的全局策略。否则，帐户将遵循 password_require_current 设置。

默认情况下，密码验证是可选的：password_require_current 被禁用，并且使用没有 PASSWORD REQUIRE 选项创建的帐户默认为 PASSWORD REQUIRE CURRENT DEFAULT。

下表显示了每个帐户的设置如何与 password_require_current 系统变量值交互以确定帐户密码验证要求策略。

要全局建立密码验证策略，请使用 password_require_current 系统变量。其默认值为 OFF，因此不要求更改帐户密码时指定当前密码。

示例

全局密码验证要求策略适用于所有尚未设置为覆盖它的帐户。要为单个帐户建立策略，请使用 CREATE USER 和 ALTER USER 语句的 PASSWORD REQUIRE 选项。请参阅 第 15.7.1.3 节，“CREATE USER 语句” 和 第 15.7.1.1 节，“ALTER USER 语句”。

特定于帐户的语句示例

当用户使用 ALTER USER 或 SET PASSWORD 语句更改密码时，需要验证当前密码。示例中使用了 ALTER USER，它优于 SET PASSWORD，但此处描述的原则对这两个语句都适用。

在更改密码的语句中，REPLACE 子句指定要替换的当前密码。例如：

REPLACE 子句的工作原理如下：

允许用户帐户拥有双重密码，指定为主密码和辅助密码。双重密码功能可以在以下情况下无缝执行凭据更改：

考虑在前面类型的情况下，当帐户只允许使用一个密码时，如何执行凭据更改。在这种情况下，必须密切配合帐户密码更改的时间，并在所有服务器上传播，以及何时更新使用该帐户的所有应用程序以使用新密码。此过程可能涉及服务器或应用程序不可用的停机时间。

使用双重密码，可以更轻松地分阶段进行凭据更改，而无需密切配合，也不需要停机时间：

MySQL 使用保存和丢弃辅助密码的语法来实现双重密码功能：

假设，对于前面描述的凭据更改方案，应用程序使用名为 'appuser1'@'host1.example.com' 的帐户连接到服务器，并且该帐户的密码将从 'password_a' 更改为 'password_b'。

要执行此凭据更改，请使用 ALTER USER，如下所示：

RETAIN CURRENT PASSWORD 和 DISCARD OLD PASSWORD 子句具有以下效果：

修改辅助密码的语句需要以下权限：

CREATE USER、ALTER USER 和 SET PASSWORD 语句能够为用户帐户生成随机密码，而不是要求管理员指定显式文本密码。有关语法的详细信息，请参阅每个语句的描述。本节介绍生成的随机密码的共同特征。

默认情况下，生成的随机密码长度为 20 个字符。此长度由 generated_random_password_length 系统变量控制，其范围为 5 到 255。

对于语句为其生成随机密码的每个帐户，语句都会将密码存储在 mysql.user 系统表中，并根据帐户身份验证插件进行适当的哈希处理。该语句还在结果集的一行中返回明文密码，以使其可供执行该语句的用户或应用程序使用。结果集列名为 user、host、generated password 和 auth_factor，指示标识 mysql.user 系统表中受影响行的用户名和主机名值、明文生成的密码以及显示的密码值适用的身份验证因子。

mysql> CREATE USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD,
       'u3'@'%.org' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | iOeqf>Mh9:;XD&qn(Hl} |           1 |
| u2   | %.example.com | sXTSAEvw3St-R+_-C3Vb |           1 |
| u3   | %.org         | nEVe%Ctw/U/*Md)Exc7& |           1 |
+------+---------------+----------------------+-------------+
mysql> ALTER USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | Seiei:&cw}8]@3OA64vh |           1 |
| u2   | %.example.com | j@&diTX80l8}(NiHXSae |           1 |
+------+---------------+----------------------+-------------+
mysql> SET PASSWORD FOR 'u3'@'%.org' TO RANDOM;
+------+-------+----------------------+-------------+
| user | host  | generated password   | auth_factor |
+------+-------+----------------------+-------------+
| u3   | %.org | n&cz2xF;P3!U)+]Vw52H |           1 |
+------+-------+----------------------+-------------+

为帐户生成随机密码的 CREATE USER、ALTER USER 或 SET PASSWORD 语句将写入二进制日志，作为带有 IDENTIFIED WITH auth_plugin AS 'auth_string' 子句的 CREATE USER 或 ALTER USER 语句，其中 auth_plugin 是帐户身份验证插件，'auth_string' 是帐户哈希密码值。

如果安装了 validate_password 组件，则其实现的策略对生成的密码没有影响。（密码验证的目的是帮助人们创建更好的密码。）

管理员可以配置用户帐户，以便在连续登录失败次数过多时导致临时帐户锁定。

在这种情况下，“登录失败”是指客户端在连接尝试期间未能提供正确的密码。它不包括由于未知用户或网络问题等原因导致的连接失败。对于具有双重密码的帐户（请参阅 双重密码支持），任何一个帐户密码都被视为正确。

可以使用 CREATE USER 和 ALTER USER 语句的 FAILED_LOGIN_ATTEMPTS 和 PASSWORD_LOCK_TIME 选项，为每个帐户配置所需的登录失败次数和锁定时间。例如：

CREATE USER 'u1'@'localhost' IDENTIFIED BY 'password'
  FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 3;

ALTER USER 'u2'@'localhost'
  FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME UNBOUNDED;

当连续登录失败次数过多时，客户端会收到如下所示的错误：

ERROR 3957 (HY000): Access denied for user user.
Account is blocked for D day(s) (R day(s) remaining)
due to N consecutive failed logins.

按如下方式使用这些选项：

每个选项的 N 允许值范围为 0 到 32767。值为 0 表示禁用该选项。

失败登录跟踪和临时帐户锁定具有以下特征：

当服务器读取授权表时，它会为每个帐户初始化状态信息，包括是否启用了失败登录跟踪、帐户当前是否处于临时锁定状态以及如果是，则锁定开始的时间，以及如果帐户未被锁定，则临时锁定发生之前的失败次数。

可以重置帐户的状态信息，这意味着失败登录计数将重置，并且如果当前处于临时锁定状态，则帐户将被解锁。帐户重置可以是针对所有帐户的全局重置，也可以是针对每个帐户的重置。

失败登录跟踪与用于检查凭据的登录帐户相关联。如果正在使用用户代理，则会跟踪代理用户，而不是被代理用户。也就是说，跟踪与 USER() 指示的帐户相关联，而不是与 CURRENT_USER() 指示的帐户相关联。有关代理用户和被代理用户之间区别的信息，请参见 第 8.2.19 节，“代理用户”。