一些身份验证插件将帐户凭据存储在 MySQL 内部，即 mysql.user 系统表中：

本节中的大多数讨论都适用于此类身份验证插件，因为此处描述的大多数密码管理功能都是基于 MySQL 本身处理的内部凭据存储。其他身份验证插件将帐户凭据存储在 MySQL 外部。对于使用插件针对外部凭据系统执行身份验证的帐户，也必须针对该系统在外部处理密码管理。

例外情况是，用于登录失败跟踪和临时帐户锁定的选项适用于所有帐户，而不仅仅是使用内部凭据存储的帐户，因为 MySQL 能够评估任何帐户的登录尝试状态，而无论其使用的是内部凭据存储还是外部凭据存储。

有关各个身份验证插件的信息，请参阅 第 8.4.1 节“身份验证插件”。

MySQL 允许数据库管理员手动使帐户密码过期，并建立自动密码过期策略。可以在全局范围内建立过期策略，并且可以将单个帐户设置为遵循全局策略或使用特定的每帐户行为覆盖全局策略。

要手动使帐户密码过期，请使用 ALTER USER 语句：

ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE;

此操作将 mysql.user 系统表中相应行中的密码标记为已过期。

根据策略的密码过期是自动的，并且基于密码有效期，对于给定帐户，密码有效期是从其最近一次密码更改的日期和时间开始评估的。mysql.user 系统表指示每个帐户的密码上次更改时间，如果密码的有效期超过其允许的生存期，则服务器会在客户端连接时自动将其视为已过期。这无需显式的手动密码过期即可工作。

要全局建立自动密码过期策略，请使用 default_password_lifetime 系统变量。其默认值为 0，表示禁用自动密码过期。如果 default_password_lifetime 的值为正整数 N，则表示允许的密码生存期，即必须每 N 天更改一次密码。

例子

全局密码过期策略适用于所有尚未设置为覆盖它的帐户。要为单个帐户建立策略，请使用 CREATE USER 和 ALTER USER 语句的 PASSWORD EXPIRE 选项。请参阅 第 15.7.1.3 节“CREATE USER 语句” 和 第 15.7.1.1 节“ALTER USER 语句”。

特定于帐户的语句示例

当客户端成功连接时，服务器会确定帐户密码是否已过期

如果密码已过期（无论是手动还是自动过期），服务器都会断开客户端连接或限制允许其执行的操作（请参阅 第 8.2.16 节“服务器对过期密码的处理”）。受限客户端执行的操作会导致错误，直到用户建立新的帐户密码为止

mysql> SELECT 1;
ERROR 1820 (HY000): You must reset your password using ALTER USER
statement before executing this statement.

mysql> ALTER USER USER() IDENTIFIED BY 'password';
Query OK, 0 rows affected (0.01 sec)

mysql> SELECT 1;
+---+
| 1 |
+---+
| 1 |
+---+
1 row in set (0.00 sec)

客户端重置密码后，服务器将为该会话以及使用该帐户的后续连接恢复正常访问。管理用户也可以重置帐户密码，但该帐户的任何现有受限会话仍将保持受限状态。使用该帐户的客户端必须断开连接并重新连接，才能成功执行语句。

MySQL 允许对重用以前的密码施加限制。可以根据密码更改次数、经过的时间或两者来建立重用限制。可以全局建立重用策略，并且可以将各个帐户设置为遵循全局策略或使用特定于帐户的行为覆盖全局策略。

帐户的密码历史记录包含其过去分配的密码。MySQL 可以限制从该历史记录中选择新密码

要全局建立密码重用策略，请使用 password_history 和 password_reuse_interval 系统变量。

例子

全局密码重用策略适用于所有尚未设置为覆盖它的帐户。要为单个帐户建立策略，请使用 CREATE USER 和 ALTER USER 语句的 PASSWORD HISTORY 和 PASSWORD REUSE INTERVAL 选项。请参阅 第 15.7.1.3 节“CREATE USER 语句” 和 第 15.7.1.1 节“ALTER USER 语句”。

特定于帐户的语句示例

可以通过指定要替换的当前密码来要求验证更改帐户密码的尝试。这使 DBA 能够防止用户在不证明他们知道当前密码的情况下更改密码。否则，可能会发生此类更改，例如，如果一个用户暂时离开终端会话而未注销，而恶意用户使用该会话更改了原始用户的 MySQL 密码。这可能会导致不幸的后果

可以全局建立密码验证策略，并且可以将各个帐户设置为遵循全局策略或使用特定于帐户的行为覆盖全局策略。

对于每个帐户，其 mysql.user 行指示是否存在特定于帐户的设置，该设置要求验证密码更改尝试的当前密码。该设置由 CREATE USER 和 ALTER USER 语句的 PASSWORD REQUIRE 选项建立

换句话说，如果帐户设置不是 PASSWORD REQUIRE CURRENT DEFAULT，则帐户设置优先于 password_require_current 系统变量建立的全局策略。否则，该帐户将遵循 password_require_current 设置。

默认情况下，密码验证是可选的：password_require_current 被禁用，并且使用 PASSWORD REQUIRE 选项创建的帐户默认为 PASSWORD REQUIRE CURRENT DEFAULT。

下表显示了每个帐户的设置如何与 password_require_current 系统变量值交互以确定帐户密码验证要求策略。

要全局建立密码验证策略，请使用 password_require_current 系统变量。其默认值为 OFF，因此不要求帐户密码更改指定当前密码。

例子

全局密码验证要求策略适用于所有尚未设置为覆盖它的帐户。要为单个帐户建立策略，请使用 CREATE USER 和 ALTER USER 语句的 PASSWORD REQUIRE 选项。请参阅 第 15.7.1.3 节“CREATE USER 语句” 和 第 15.7.1.1 节“ALTER USER 语句”。

特定于帐户的语句示例

当用户使用 ALTER USER 或 SET PASSWORD 语句更改密码时，需要验证当前密码。示例使用 ALTER USER，它优于 SET PASSWORD，但此处描述的原则对这两个语句都适用。

在更改密码的语句中，REPLACE 子句指定要替换的当前密码。例如：

REPLACE 子句的工作原理如下：

用户帐户允许拥有双重密码，指定为主密码和辅助密码。双重密码功能可以在以下情况下无缝执行凭据更改：

考虑在上述情况下，当一个帐户只允许使用一个密码时，如何执行凭据更改。在这种情况下，必须密切配合帐户密码更改的时间并在所有服务器上传播，以及所有使用该帐户的应用程序何时更新为使用新密码。此过程可能涉及服务器或应用程序不可用的停机时间。

使用双重密码，可以更轻松地分阶段进行凭据更改，而无需密切配合，也无需停机：

MySQL 使用保存和丢弃辅助密码的语法来实现双重密码功能：

假设，对于前面描述的凭据更改场景，应用程序使用名为 'appuser1'@'host1.example.com' 的帐户连接到服务器，并且该帐户的密码要从 'password_a' 更改为 'password_b'。

要执行此凭据更改，请使用 ALTER USER，如下所示：

RETAIN CURRENT PASSWORD 和 DISCARD OLD PASSWORD 子句具有以下效果：

修改辅助密码的语句需要以下权限：

CREATE USER、ALTER USER 和 SET PASSWORD 语句能够为用户帐户生成随机密码，作为要求管理员明确指定文字密码的替代方法。有关语法详情，请参阅每个语句的描述。本节描述了生成的随机密码的共同特征。

默认情况下，生成的随机密码长度为 20 个字符。此长度由 generated_random_password_length 系统变量控制，其范围为 5 到 255。

对于语句为其生成随机密码的每个帐户，该语句都会将密码存储在 mysql.user 系统表中，并根据帐户身份验证插件进行适当的哈希处理。该语句还会在结果集的一行中返回明文密码，使其可供执行该语句的用户或应用程序使用。结果集列名为 user、host、generated password 和 auth_factor，分别表示标识 mysql.user 系统表中受影响行的用户名和主机名值、明文生成的密码以及显示的密码值适用的身份验证因子。

mysql> CREATE USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD,
       'u3'@'%.org' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | iOeqf>Mh9:;XD&qn(Hl} |           1 |
| u2   | %.example.com | sXTSAEvw3St-R+_-C3Vb |           1 |
| u3   | %.org         | nEVe%Ctw/U/*Md)Exc7& |           1 |
+------+---------------+----------------------+-------------+
mysql> ALTER USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | Seiei:&cw}8]@3OA64vh |           1 |
| u2   | %.example.com | j@&diTX80l8}(NiHXSae |           1 |
+------+---------------+----------------------+-------------+
mysql> SET PASSWORD FOR 'u3'@'%.org' TO RANDOM;
+------+-------+----------------------+-------------+
| user | host  | generated password   | auth_factor |
+------+-------+----------------------+-------------+
| u3   | %.org | n&cz2xF;P3!U)+]Vw52H |           1 |
+------+-------+----------------------+-------------+

为帐户生成随机密码的 CREATE USER、ALTER USER 或 SET PASSWORD 语句将被写入二进制日志，作为带有 IDENTIFIED WITH auth_plugin AS 'auth_string' 子句的 CREATE USER 或 ALTER USER 语句，其中 auth_plugin 是帐户身份验证插件，'auth_string' 是帐户哈希密码值。

如果安装了 validate_password 组件，则其实现的策略对生成的密码没有影响。（密码验证的目的是帮助人们创建更好的密码。）

管理员可以配置用户帐户，以便在连续登录失败次数过多时导致临时帐户锁定。

在这种情况下，“登录失败”是指客户端在连接尝试期间未能提供正确的密码。它不包括由于未知用户或网络问题等原因导致的连接失败。对于具有双重密码的帐户（请参阅 双重密码支持），任何一个帐户密码都算作正确。

可以使用 CREATE USER 和 ALTER USER 语句的 FAILED_LOGIN_ATTEMPTS 和 PASSWORD_LOCK_TIME 选项，为每个帐户配置所需的登录失败次数和锁定时间。例如：

CREATE USER 'u1'@'localhost' IDENTIFIED BY 'password'
  FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 3;

ALTER USER 'u2'@'localhost'
  FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME UNBOUNDED;

当连续登录失败次数过多时，客户端会收到如下错误：

ERROR 3957 (HY000): Access denied for user user.
Account is blocked for D day(s) (R day(s) remaining)
due to N consecutive failed logins.

选项的使用方法如下：

每个选项允许的 N 值的范围为 0 到 32767。值为 0 将禁用该选项。

失败登录跟踪和临时帐户锁定具有以下特征：

当服务器读取授权表时，它将为每个帐户初始化状态信息，包括是否启用了失败登录跟踪，帐户当前是否被临时锁定以及如果是，则锁定开始的时间，以及如果帐户未被锁定，则在临时锁定发生之前的失败次数。

可以重置帐户的状态信息，这意味着失败登录计数将重置，并且如果当前被临时锁定，则帐户将被解锁。帐户重置可以针对所有帐户进行全局重置，也可以针对每个帐户进行重置。

失败登录跟踪与用于检查凭据的登录帐户相关联。如果正在使用用户代理，则会对代理用户而不是被代理用户进行跟踪。也就是说，跟踪与 USER() 指示的帐户相关联，而不是与 CURRENT_USER() 指示的帐户相关联。有关代理用户和被代理用户之间区别的信息，请参见 第 8.2.19 节“代理用户”。