身份验证：默认身份验证插件（如 The Default Authentication Plugin 中所述确定），以及空凭据

默认角色：NONE

SSL/TLS：NONE

资源限制：无限制

密码管理：PASSWORD EXPIRE DEFAULT PASSWORD HISTORY DEFAULT PASSWORD REUSE INTERVAL DEFAULT PASSWORD REQUIRE CURRENT DEFAULT；失败登录跟踪和临时帐户锁定已禁用

帐户锁定：ACCOUNT UNLOCK

必须使用有效的 X.509 证书进行连接。

每小时最多允许 60 个查询。

密码更改不能重用最近五个密码中的任何一个。

帐户最初被锁定，因此它实际上是一个占位符，在管理员解锁它之前无法使用。

auth_plugin 指定身份验证插件的名称。插件名称可以是带引号的字符串字面量或不带引号的名称。插件名称存储在 mysql.user 系统表的 plugin 列中。

对于未指定身份验证插件的 auth_option 语法，服务器将分配默认插件，如 The Default Authentication Plugin 中所述确定。有关每个插件的描述，请参阅 Section 8.4.1, “Authentication Plugins”。

在内部存储的凭据将存储在 mysql.user 系统表中。一个 'auth_string' 值或 RANDOM PASSWORD 指定帐户凭据，可以是明文（未加密）字符串，也可以是与帐户关联的身份验证插件期望的格式进行哈希处理的字符串

IDENTIFIED BY 'auth_string'

将帐户身份验证插件设置为默认插件，将明文 'auth_string' 值传递给插件以进行可能的哈希处理，并将结果存储在 mysql.user 系统表中的帐户行中。

IDENTIFIED BY RANDOM PASSWORD

将帐户身份验证插件设置为默认插件，生成一个随机密码，将明文密码值传递给插件以进行可能的哈希处理，并将结果存储在 mysql.user 系统表中的帐户行中。该语句还在结果集中返回明文密码，以使其可供执行该语句的用户或应用程序使用。有关结果集和随机生成密码的特征的详细信息，请参阅 Random Password Generation。

IDENTIFIED WITH auth_plugin

将帐户身份验证插件设置为 auth_plugin，将凭据清除为空字符串，并将结果存储在 mysql.user 系统表中的帐户行中。

IDENTIFIED WITH auth_plugin BY 'auth_string'

将帐户身份验证插件设置为 auth_plugin，将明文 'auth_string' 值传递给插件以进行可能的哈希运算，并将结果存储在 mysql.user 系统表中的帐户行中。

IDENTIFIED WITH auth_plugin BY RANDOM PASSWORD

将帐户身份验证插件设置为 auth_plugin，生成一个随机密码，将明文密码值传递给插件以进行可能的哈希运算，并将结果存储在 mysql.user 系统表中的帐户行中。该语句还会在结果集中返回明文密码，以便在执行该语句的用户或应用程序中可用。有关结果集和随机生成的密码特征的详细信息，请参见 随机密码生成。

IDENTIFIED WITH auth_plugin AS 'auth_string'

将帐户身份验证插件设置为 auth_plugin，并将 'auth_string' 值按原样存储在 mysql.user 帐户行中。如果插件需要哈希字符串，则假定该字符串已按插件所需的格式进行哈希运算。

2fa_auth_option：指定因素 2 身份验证方法。以下示例将 caching_sha2_password 定义为因素 1 身份验证方法，并将 authentication_ldap_sasl 定义为因素 2 身份验证方法。

CREATE USER 'u1'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com';

3fa_auth_option：在 2fa_auth_option 之后，可能出现一个 3fa_auth_option 子句来指定因素 3 身份验证方法。以下示例将 caching_sha2_password 定义为因素 1 身份验证方法，并将 authentication_ldap_sasl 定义为因素 2 身份验证方法，并将 authentication_webauthn 定义为因素 3 身份验证方法

CREATE USER 'u1'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com'
  AND IDENTIFIED WITH authentication_webauthn;

initial_auth_option：指定一种用于配置 FIDO/FIDO2 无密码身份验证的初始身份验证方法。如以下所示，使用生成的随机密码或用户指定的 auth-string 进行临时身份验证是启用 WebAuthn 无密码身份验证的必要条件。

CREATE USER user
  IDENTIFIED WITH authentication_webauthn
  INITIAL AUTHENTICATION IDENTIFIED BY {RANDOM PASSWORD | 'auth_string'};

有关使用 WebAuthn 可插拔身份验证配置无密码身份验证的信息，请参见 WebAuthn 无密码身份验证。

NONE

表示由该语句命名的所有帐户都没有 SSL 或 X.509 要求。如果用户名和密码有效，则允许使用未加密的连接。如果客户端具有正确的证书和密钥文件，则可以选择使用加密连接。

CREATE USER 'jeffrey'@'localhost' REQUIRE NONE;

客户端默认尝试建立安全连接。对于具有 REQUIRE NONE 的客户端，如果无法建立安全连接，则连接尝试将回退到未加密连接。要要求加密连接，客户端只需要指定 --ssl-mode=REQUIRED 选项；如果无法建立安全连接，则连接尝试将失败。

如果未指定任何与 SSL 相关的 REQUIRE 选项，则 NONE 是默认值。

SSL

告诉服务器只允许对由该语句命名的所有帐户进行加密连接。

CREATE USER 'jeffrey'@'localhost' REQUIRE SSL;

客户端默认尝试建立安全连接。对于具有 REQUIRE SSL 的帐户，如果无法建立安全连接，则连接尝试将失败。

X509

对于由该语句命名的所有帐户，要求客户端提供有效的证书，但确切的证书、颁发机构和主体无关紧要。唯一的要求是应该能够使用其中一个 CA 证书验证其签名。使用 X.509 证书总是意味着加密，因此在这种情况下，SSL 选项是不必要的。

CREATE USER 'jeffrey'@'localhost' REQUIRE X509;

对于具有 REQUIRE X509 的帐户，客户端必须指定 --ssl-key 和 --ssl-cert 选项以连接。（建议但不是必需的，也指定 --ssl-ca，以便可以验证服务器提供的公钥。）对于 ISSUER 和 SUBJECT 也是如此，因为这些 REQUIRE 选项意味着 X509 的要求。

ISSUER 'issuer'

对于由该语句命名的所有帐户，要求客户端提供由 CA 'issuer' 颁发的有效 X.509 证书。如果客户端提供的证书有效，但颁发机构不同，则服务器会拒绝连接。使用 X.509 证书总是意味着加密，因此在这种情况下，SSL 选项是不必要的。

CREATE USER 'jeffrey'@'localhost'
  REQUIRE ISSUER '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL/CN=CA/[email protected]';

由于 ISSUER 意味着 X509 的要求，因此客户端必须指定 --ssl-key 和 --ssl-cert 选项以连接。（建议但不是必需的，也指定 --ssl-ca，以便可以验证服务器提供的公钥。）

SUBJECT 'subject'

对于由该语句命名的所有帐户，要求客户端提供包含主体 subject 的有效 X.509 证书。如果客户端提供的证书有效，但主体不同，则服务器会拒绝连接。使用 X.509 证书总是意味着加密，因此在这种情况下，SSL 选项是不必要的。

CREATE USER 'jeffrey'@'localhost'
  REQUIRE SUBJECT '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL demo client certificate/
    CN=client/[email protected]';

MySQL 对 'subject' 值与证书中的值进行简单的字符串比较，因此字母大小写和组件顺序必须与证书中的一致。

由于 SUBJECT 意味着 X509 的要求，因此客户端必须指定 --ssl-key 和 --ssl-cert 选项以连接。（建议但不是必需的，也指定 --ssl-ca，以便可以验证服务器提供的公钥。）

CIPHER 'cipher'

对于由该语句命名的所有帐户，要求使用特定的密码方法来加密连接。需要此选项以确保使用足够强度的密码和密钥长度。如果使用短加密密钥的旧算法，则加密可能很弱。

CREATE USER 'jeffrey'@'localhost'
  REQUIRE CIPHER 'EDH-RSA-DES-CBC3-SHA';

MAX_QUERIES_PER_HOUR count、MAX_UPDATES_PER_HOUR count、MAX_CONNECTIONS_PER_HOUR count

对于语句中命名的所有帐户，这些选项限制了在任何给定的一个小时内允许每个帐户对服务器进行的查询、更新和连接的数量。如果 count 为 0（默认值），则表示帐户没有限制。

MAX_USER_CONNECTIONS count

对于语句中命名的所有帐户，限制每个帐户对服务器的最大并发连接数。非零 count 明确指定了帐户的限制。如果 count 为 0（默认值），服务器将根据 max_user_connections 系统变量的全局值确定帐户的并发连接数。如果 max_user_connections 也为零，则帐户没有限制。

密码过期选项：您可以手动使帐户密码过期，并建立其密码过期策略。策略选项不会使密码过期。相反，它们决定服务器如何根据密码年龄对帐户应用自动过期，密码年龄是从最近一次帐户密码更改的日期和时间评估的。

密码重用选项：您可以根据密码更改次数、经过的时间或两者来限制密码重用。

密码验证所需选项：您可以指示是否必须在尝试更改帐户密码时指定当前密码，以验证尝试进行更改的用户是否真正知道当前密码。

错误密码失败登录跟踪选项：您可以使服务器跟踪失败的登录尝试，并暂时锁定连续输入过多错误密码的帐户。失败所需的次数和锁定时间是可配置的。

PASSWORD EXPIRE

立即将语句中命名的所有帐户的密码标记为过期。

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE;

PASSWORD EXPIRE DEFAULT

将语句中命名的所有帐户设置为应用全局过期策略，如 default_password_lifetime 系统变量中指定的那样。

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE DEFAULT;

PASSWORD EXPIRE NEVER

此过期选项将覆盖语句中命名的所有帐户的全局策略。对于每个帐户，它将禁用密码过期，以便密码永远不会过期。

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE NEVER;

PASSWORD EXPIRE INTERVAL N DAY

此过期选项将覆盖语句中命名的所有帐户的全局策略。对于每个帐户，它将密码寿命设置为 N 天。以下语句要求每 180 天更改一次密码

CREATE USER 'jeffrey'@'localhost' PASSWORD EXPIRE INTERVAL 180 DAY;

PASSWORD HISTORY DEFAULT

将语句中命名的所有帐户设置为应用关于密码历史长度的全局策略，以禁止在进行 password_history 系统变量中指定的更改次数之前重用密码。

CREATE USER 'jeffrey'@'localhost' PASSWORD HISTORY DEFAULT;

PASSWORD HISTORY N

此历史长度选项将覆盖语句中命名的所有帐户的全局策略。对于每个帐户，它将密码历史长度设置为 N 个密码，以禁止重用最近选择的 N 个密码中的任何一个。以下语句禁止重用任何以前的 6 个密码

CREATE USER 'jeffrey'@'localhost' PASSWORD HISTORY 6;

PASSWORD REUSE INTERVAL DEFAULT

将帐户中命名的所有语句设置为应用关于经过时间的全局策略，以禁止重用比 password_reuse_interval 系统变量中指定的日期数更近的密码。

CREATE USER 'jeffrey'@'localhost' PASSWORD REUSE INTERVAL DEFAULT;

PASSWORD REUSE INTERVAL N DAY

此经过时间选项将覆盖语句中命名的所有帐户的全局策略。对于每个帐户，它将密码重用间隔设置为 N 天，以禁止重用比那么多天更近的密码。以下语句禁止 360 天内重用密码

CREATE USER 'jeffrey'@'localhost' PASSWORD REUSE INTERVAL 360 DAY;

PASSWORD REQUIRE CURRENT

此验证选项将覆盖语句中命名的所有帐户的全局策略。对于每个帐户，它要求密码更改指定当前密码。

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT;

PASSWORD REQUIRE CURRENT OPTIONAL

此验证选项将覆盖语句中命名的所有帐户的全局策略。对于每个帐户，它不要求密码更改指定当前密码。（可以提供当前密码，但不是必需的。）

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT OPTIONAL;

PASSWORD REQUIRE CURRENT DEFAULT

将帐户中命名的所有语句设置为应用关于密码验证的全局策略，如 password_require_current 系统变量中指定的那样。

CREATE USER 'jeffrey'@'localhost' PASSWORD REQUIRE CURRENT DEFAULT;

FAILED_LOGIN_ATTEMPTS N

是否跟踪指定错误密码的帐户登录尝试。 N 必须是 0 到 32767 之间的数字。值为 0 将禁用失败登录跟踪。大于 0 的值表示导致帐户暂时锁定（如果 PASSWORD_LOCK_TIME 也非零）的连续密码失败次数。

PASSWORD_LOCK_TIME {N | UNBOUNDED}

连续输入过多错误密码导致帐户暂时锁定的时间。 N 必须是 0 到 32767 之间的数字，或者为 UNBOUNDED。值为 0 将禁用帐户暂时锁定。大于 0 的值表示锁定帐户的天数。值为 UNBOUNDED 将使帐户锁定持续时间无限制；一旦锁定，帐户将保持锁定状态，直到解锁。有关解锁发生的条件的信息，请参见 失败登录跟踪和帐户暂时锁定。

用户注释

要设置用户注释，请将 COMMENT 'user_comment' 添加到 CREATE USER 语句中，其中 user_comment 是用户注释的文本。

示例（省略任何其他选项）

CREATE USER 'jon'@'localhost' COMMENT 'Some information about Jon';

用户属性

用户属性是由一个或多个键值对组成的 JSON 对象，可以通过包含 ATTRIBUTE 'json_object' 作为 CREATE USER 的一部分来设置。 json_object 必须是有效的 JSON 对象。

示例（省略任何其他选项）

CREATE USER 'jim'@'localhost'
    ATTRIBUTE '{"fname": "James", "lname": "Scott", "phone": "123-456-7890"}';

原始语句中命名的插件（如果指定了）。

否则，使用默认身份验证插件。特别是，如果用户 u1 已经存在并使用非默认身份验证插件，则写入二进制日志的 CREATE USER IF NOT EXISTS u1 语句将命名默认身份验证插件。（如果写入二进制日志的语句必须为用户指定非默认身份验证插件，请将其包含在原始语句中。）

CREATE USER ... IDENTIFIED WITH .. INITIAL AUTHENTICATION IDENTIFIED WITH ... 语句将写入二进制日志，如 CREATE USER .. IDENTIFIED WITH .. INITIAL AUTHENTICATION IDENTIFIED WITH .. AS 'password-hash'，其中 password-hash 是用户指定的 auth-string 或服务器在指定 RANDOM PASSWORD 子句时生成的随机密码。