身份验证因素通常包括以下类型的信息

“你知道的东西” 因素类型依赖于在身份验证过程的两端保持秘密的信息。不幸的是，秘密可能会受到损害：有人可能会看到你输入密码或用网络钓鱼攻击欺骗你，服务器端存储的密码可能会因安全漏洞而泄露，等等。使用多个密码可以提高安全性，但每个密码仍然可能受到损害。使用其他因素类型可以提高安全性，并且减少受到损害的风险。

MySQL 中的多因素身份验证的实现包含以下元素

使用 authentication_policy 系统变量定义多因素身份验证策略。具体来说，它定义了帐户可以拥有（或需要拥有）多少个身份验证因素以及每个因素可以使用哪些身份验证方法。

authentication_policy 的值是一个包含 1、2 或 3 个用逗号分隔的元素的列表。列表中的每个元素对应于一个身份验证因素，可以是身份验证插件名称、星号 (*)、空或缺失。（例外：元素 1 不能为空或缺失。）整个列表用单引号括起来。例如，以下 authentication_policy 值包含一个星号、一个身份验证插件名称和一个空元素

authentication_policy = '*,authentication_webauthn,'

星号 (*) 表示需要身份验证方法，但允许使用任何方法。空元素表示身份验证方法是可选的，并且允许使用任何方法。缺失的元素（没有星号、空元素或身份验证插件名称）表示不允许使用身份验证方法。当指定插件名称时，在创建或修改帐户时，相应的因素需要使用该身份验证方法。

默认的 authentication_policy 值为 '*,,'（一个星号和两个空元素），这需要第一个因素，并可以选择允许第二个和第三个因素。因此，默认的 authentication_policy 值与现有的 1FA 帐户向后兼容，但也允许创建或修改帐户以使用 2FA 或 3FA。

具有 AUTHENTICATION_POLICY_ADMIN 权限的用户不受 authentication_policy 设置施加的约束。（对于否则不允许的语句，会发出警告。）

可以在选项文件中定义 authentication_policy 值，或使用 SET GLOBAL 语句指定。

SET GLOBAL authentication_policy='*,*,';

有几个规则控制着如何定义 authentication_policy 值。有关这些规则的完整说明，请参阅 authentication_policy 系统变量描述。下表提供了几个 authentication_policy 示例值以及每个值建立的策略。

允许创建或更改具有一个或两个因素的帐户，其中第一个因素必须是指定的插件。

多因素身份验证入门

CREATE USER 'alice'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com';

默认情况下，MySQL 使用多因素身份验证策略，允许使用任何身份验证插件作为第一个因素，并可以选择允许第二个和第三个身份验证因素。此策略是可配置的；有关详细信息，请参阅 配置多因素身份验证策略.

$> mysql --user=alice --password1 --password2
Enter password: (enter factor 1 password)
Enter password: (enter factor 2 password)

注意

DROP USER 'alice'@'localhost';
  
CREATE USER 'alice'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com'
  AND IDENTIFIED WITH authentication_webauthn;

不允许使用任何内部凭据存储插件（例如 caching_sha2_password）作为因素 2 或 3。

ALTER USER 'alice'@'localhost' ADD 3 FACTOR IDENTIFIED WITH authentication_webauthn;

假设您希望帐户先使用 caching_sha2_password 插件进行身份验证，然后使用 authentication_ldap_sasl SASL LDAP 插件进行身份验证。（这假设已如 第 8.4.1.6 节，“LDAP 可插拔身份验证” 中所述设置了 LDAP 身份验证，并且用户在 LDAP 目录中具有与示例中显示的身份验证字符串相对应的条目。）使用类似以下语句创建帐户

ALTER USER 'alice'@'localhost' DROP 3 FACTOR;

要连接，用户必须提供两个密码。要使用需要多个密码的帐户启用对 MySQL 服务器的身份验证，客户端程序具有 --password1、--password2 和 --password3 选项，允许指定最多三个密码。这些选项类似于 --password 选项，因为它们可以在命令行中在选项后面接受密码值（不安全）或在没有密码值的情况下，会导致提示用户输入密码。对于刚刚创建的帐户，因素 1 和 2 需要密码，因此使用 mysql 客户端并使用 --password1 和 --password2 选项。mysql 会依次提示输入每个密码

ALTER USER 'alice'@'localhost' MODIFY 2 FACTOR IDENTIFIED WITH authentication_webauthn;

假设您想要添加第三个身份验证因素。可以通过删除并重新创建具有第三个因素的用户，或使用 ALTER USER user ADD factor 语法来实现。两种方法都显示在下面

SHOW CREATE USER 'u1'@'localhost'\G
*************************** 1. row ***************************
CREATE USER for u1@localhost: CREATE USER `u1`@`localhost` 
IDENTIFIED WITH 'caching_sha2_password' AS 'sha2_password' 
AND IDENTIFIED WITH 'authentication_authn' REQUIRE NONE 
PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCK PASSWORD HISTORY 
DEFAULT PASSWORD REUSE INTERVAL DEFAULT PASSWORD REQUIRE 
CURRENT DEFAULT