要使给定身份验证插件发生代理，必须满足以下条件：

代理机制仅允许将外部客户端用户名映射到代理用户名。没有提供用于映射主机名的规定。

请考虑以下帐户定义。

-- create proxy account
CREATE USER 'employee_ext'@'localhost'
  IDENTIFIED WITH my_auth_plugin
  AS 'my_auth_string';

-- create proxied account and grant its privileges;
-- use mysql_no_login plugin to prevent direct login
CREATE USER 'employee'@'localhost'
  IDENTIFIED WITH mysql_no_login;
GRANT ALL
  ON employees.*
  TO 'employee'@'localhost';

-- grant to proxy account the
-- PROXY privilege for proxied account
GRANT PROXY
  ON 'employee'@'localhost'
  TO 'employee_ext'@'localhost';

当客户端从本地主机以 employee_ext 身份连接时，MySQL 使用名为 my_auth_plugin 的插件执行身份验证。假设 my_auth_plugin 根据 'my_auth_string' 的内容（可能还会参考一些外部身份验证系统）向服务器返回用户名 employee。名称 employee 与 employee_ext 不同，因此返回 employee 相当于向服务器发出请求，以便在权限检查时将 employee_ext 外部用户视为 employee 本地用户。

在这种情况下，employee_ext 是代理用户，employee 是被代理用户。

服务器通过检查 employee_ext（代理用户）是否对 employee（被代理用户）具有 PROXY 权限，来验证是否可以为 employee_ext 用户进行 employee 的代理身份验证。如果未授予此权限，则会发生错误。否则，employee_ext 将获得 employee 的权限。服务器根据授予 employee 的权限检查 employee_ext 在客户端会话期间执行的语句。在这种情况下，employee_ext 可以访问 employees 数据库中的表。

被代理帐户 employee 使用 mysql_no_login 身份验证插件来防止客户端使用该帐户直接登录。（这假定已安装该插件。有关说明，请参见 第 8.4.1.9 节“无登录可插拔身份验证”。）有关防止被代理帐户被直接使用的其他方法，请参见 防止直接登录到被代理帐户。

发生代理时，可以使用 USER() 和 CURRENT_USER() 函数查看连接用户（代理用户）与当前会话期间应用其权限的帐户（被代理用户）之间的区别。对于刚刚描述的示例，这些函数返回以下值。

mysql> SELECT USER(), CURRENT_USER();
+------------------------+--------------------+
| USER()                 | CURRENT_USER()     |
+------------------------+--------------------+
| employee_ext@localhost | employee@localhost |
+------------------------+--------------------+

在创建代理用户帐户的 CREATE USER 语句中，命名支持代理的身份验证插件的 IDENTIFIED WITH 子句后面可以选择跟一个 AS 'auth_string' 子句，该子句指定用户连接时服务器传递给插件的字符串。如果存在，则该字符串提供的信息有助于插件确定如何将代理（外部）客户端用户名映射到被代理用户名。每个插件是否需要 AS 子句取决于插件本身。如果需要，则身份验证字符串的格式取决于插件打算如何使用它。有关给定插件接受的身份验证字符串值的信息，请查阅该插件的文档。

被代理帐户通常只能通过代理帐户使用。也就是说，客户端使用代理帐户连接，然后被映射到相应的被代理用户并获得其权限。

有多种方法可以确保被代理帐户不能直接使用。

需要 PROXY 权限才能使外部用户能够以另一个用户的身份连接并拥有其权限。要授予此权限，请使用 GRANT 语句。例如。

GRANT PROXY ON 'proxied_user' TO 'proxy_user';

该语句在 mysql.proxies_priv 授权表中创建一行。

在连接时，proxy_user 必须表示有效的外部身份验证的 MySQL 用户，proxied_user 必须表示有效的本地身份验证的用户。否则，连接尝试将失败。

对应的 REVOKE 语法是。

REVOKE PROXY ON 'proxied_user' FROM 'proxy_user';

MySQL GRANT 和 REVOKE 语法扩展照常工作。示例。

-- grant PROXY to multiple accounts
GRANT PROXY ON 'a' TO 'b', 'c', 'd';

-- revoke PROXY from multiple accounts
REVOKE PROXY ON 'a' FROM 'b', 'c', 'd';

-- grant PROXY to an account and enable the account to grant
-- PROXY to the proxied account
GRANT PROXY ON 'a' TO 'd' WITH GRANT OPTION;

-- grant PROXY to default proxy account
GRANT PROXY ON 'a' TO ''@'';

在以下情况下可以授予 PROXY 权限。

在 MySQL 安装期间创建的初始 root 帐户对 ''@''（即所有用户和所有主机）拥有 PROXY ... WITH GRANT OPTION 权限。这使 root 能够设置代理用户，以及将设置代理用户的权限委托给其他帐户。例如，root 可以执行以下操作。

CREATE USER 'admin'@'localhost'
  IDENTIFIED BY 'admin_password';
GRANT PROXY
  ON ''@''
  TO 'admin'@'localhost'
  WITH GRANT OPTION;

这些语句创建一个 admin 用户，该用户可以管理所有 GRANT PROXY 映射。例如，admin 可以执行以下操作。

GRANT PROXY ON sally TO joe;

要指定某些或所有用户应使用给定的身份验证插件进行连接，请创建一个用户名和主机名为空（''@''）的“空白” MySQL 帐户，将其与该插件关联，并让插件返回实际的身份验证用户名（如果与空白用户不同）。假设存在一个名为 ldap_auth 的插件，该插件实现了 LDAP 身份验证，并将连接用户映射到开发者帐户或管理员帐户。要将用户代理到这些帐户，请使用以下语句。

-- create default proxy account
CREATE USER ''@''
  IDENTIFIED WITH ldap_auth
  AS 'O=Oracle, OU=MySQL';

-- create proxied accounts; use
-- mysql_no_login plugin to prevent direct login
CREATE USER 'developer'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'manager'@'localhost'
  IDENTIFIED WITH mysql_no_login;

-- grant to default proxy account the
-- PROXY privilege for proxied accounts
GRANT PROXY
  ON 'manager'@'localhost'
  TO ''@'';
GRANT PROXY
  ON 'developer'@'localhost'
  TO ''@'';

现在假设客户端按如下方式连接。

$> mysql --user=myuser --password ...
Enter password: myuser_password

服务器找不到定义为 MySQL 用户的 myuser，但由于存在与客户端用户名和主机名匹配的空白用户帐户（''@''），因此服务器将根据该帐户对客户端进行身份验证。服务器调用 ldap_auth 身份验证插件，并将 myuser 和 myuser_password 作为用户名和密码传递给它。

如果 ldap_auth 插件在 LDAP 目录中发现 myuser_password 不是 myuser 的正确密码，则身份验证失败，服务器拒绝连接。

如果密码正确，并且 ldap_auth 发现 myuser 是开发者，则它会将用户名 developer 返回给 MySQL 服务器，而不是 myuser。返回与客户端用户名 myuser 不同的用户名，表示服务器应将 myuser 视为代理。服务器验证 ''@'' 是否可以作为 developer 进行身份验证（因为 ''@'' 拥有 PROXY 权限），并接受连接。会话继续进行，myuser 拥有 developer 被代理用户的权限。（这些权限应由 DBA 使用 GRANT 语句设置，此处未显示。）USER() 和 CURRENT_USER() 函数返回以下值。

mysql> SELECT USER(), CURRENT_USER();
+------------------+---------------------+
| USER()           | CURRENT_USER()      |
+------------------+---------------------+
| myuser@localhost | developer@localhost |
+------------------+---------------------+

如果插件在 LDAP 目录中发现 myuser 是管理员，则它会返回 manager 作为用户名，并且会话继续进行，myuser 拥有 manager 被代理用户的权限。

mysql> SELECT USER(), CURRENT_USER();
+------------------+-------------------+
| USER()           | CURRENT_USER()    |
+------------------+-------------------+
| myuser@localhost | manager@localhost |
+------------------+-------------------+

为简单起见，外部身份验证不能是多级的：在前面的示例中，developer 和 manager 的凭据都不会被考虑在内。但是，如果客户端尝试直接以 developer 或 manager 帐户连接并进行身份验证，则仍会使用这些凭据，这就是为什么应保护这些被代理帐户以防止直接登录（请参见 防止直接登录到被代理帐户）。

如果您打算创建默认代理用户，请检查是否存在其他优先于默认代理用户的“匹配任何用户”帐户，因为它们可能会阻止该用户按预期工作。

在前面的讨论中，默认代理用户帐户的主机部分为 ''，这与任何主机都匹配。如果设置默认代理用户，请注意还要检查是否存在用户部分相同且主机部分为 '%' 的非代理帐户，因为 '%' 也与任何主机匹配，但根据服务器用于对帐户行进行内部排序的规则，'%' 优先于 ''（请参见 第 8.2.6 节“访问控制，阶段 1：连接验证”）。

假设 MySQL 安装包含以下两个帐户。

-- create default proxy account
CREATE USER ''@''
  IDENTIFIED WITH some_plugin
  AS 'some_auth_string';
-- create anonymous account
CREATE USER ''@'%'
  IDENTIFIED BY 'anon_user_password';

第一个帐户（''@''）用作默认代理用户，用于对与更具体的帐户不匹配的用户的连接进行身份验证。第二个帐户（''@'%'）是匿名用户帐户，例如，可能创建它是为了使没有自己帐户的用户能够匿名连接。

这两个帐户具有相同的用户部分（''），它匹配任何用户。并且每个帐户都有一个主机部分，该部分匹配任何主机。但是，连接尝试的帐户匹配存在优先级，因为匹配规则将 '%' 的主机排在 '' 之前。对于与任何更具体的帐户都不匹配的帐户，服务器会尝试使用 ''@'%'（匿名用户）而不是 ''@''（默认代理用户）对它们进行身份验证。因此，永远不会使用默认代理帐户。

为避免此问题，请使用以下策略之一

某些身份验证插件会自行实现代理用户映射（例如，PAM 和 Windows 身份验证插件）。默认情况下，其他身份验证插件不支持代理用户。其中一些可以请求 MySQL 服务器本身根据授予的代理权限映射代理用户：mysql_native_password（已弃用）、sha256_password（已弃用）。如果启用了 check_proxy_users 系统变量，则服务器会为任何提出此类请求的身份验证插件执行代理用户映射

例如，要启用所有上述功能，请在 my.cnf 文件中使用以下几行启动服务器

[mysqld]
check_proxy_users=ON
mysql_native_password_proxy_users=ON
sha256_password_proxy_users=ON

假设已启用相关系统变量，请使用 CREATE USER 照常创建代理用户，然后向其授予对单个其他帐户的 PROXY 权限，该帐户将被视为被代理用户。当服务器收到对代理用户的成功连接请求时，它会发现该用户具有 PROXY 权限，并使用它来确定正确的被代理用户。

-- create proxy account
CREATE USER 'proxy_user'@'localhost'
  IDENTIFIED WITH mysql_native_password
  BY 'password';

-- create proxied account and grant its privileges;
-- use mysql_no_login plugin to prevent direct login
CREATE USER 'proxied_user'@'localhost'
  IDENTIFIED WITH mysql_no_login;
-- grant privileges to proxied account
GRANT ...
  ON ...
  TO 'proxied_user'@'localhost';

-- grant to proxy account the
-- PROXY privilege for proxied account
GRANT PROXY
  ON 'proxied_user'@'localhost'
  TO 'proxy_user'@'localhost';

要使用代理帐户，请使用其名称和密码连接到服务器

$> mysql -u proxy_user -p
Enter password: (enter proxy_user password here)

身份验证成功后，服务器会发现 proxy_user 具有 proxied_user 的 PROXY 权限，并且会话将继续进行，proxy_user 拥有 proxied_user 的权限。

由服务器执行的代理用户映射受以下限制

有两个系统变量可以帮助跟踪代理登录过程