ALTER USER [IF EXISTS]
    user [auth_option] [, user [auth_option]] ...
    [REQUIRE {NONE | tls_option [[AND] tls_option] ...}]
    [WITH resource_option [resource_option] ...]
    [password_option | lock_option] ...
    [COMMENT 'comment_string' | ATTRIBUTE 'json_object']

ALTER USER [IF EXISTS]
    USER() user_func_auth_option

ALTER USER [IF EXISTS]
    user [registration_option]

ALTER USER [IF EXISTS]
    USER() [registration_option]

ALTER USER [IF EXISTS]
    user DEFAULT ROLE
    {NONE | ALL | role [, role ] ...}

user:
    (see Section 8.2.4, “Specifying Account Names”)

auth_option: {
    IDENTIFIED BY 'auth_string'
        [REPLACE 'current_auth_string']
        [RETAIN CURRENT PASSWORD]
  | IDENTIFIED BY RANDOM PASSWORD
        [REPLACE 'current_auth_string']
        [RETAIN CURRENT PASSWORD]
  | IDENTIFIED WITH auth_plugin
  | IDENTIFIED WITH auth_plugin BY 'auth_string'
        [REPLACE 'current_auth_string']
        [RETAIN CURRENT PASSWORD]
  | IDENTIFIED WITH auth_plugin BY RANDOM PASSWORD
        [REPLACE 'current_auth_string']
        [RETAIN CURRENT PASSWORD]
  | IDENTIFIED WITH auth_plugin AS 'auth_string'
  | DISCARD OLD PASSWORD
  | ADD factor factor_auth_option [ADD factor factor_auth_option]
  | MODIFY factor factor_auth_option [MODIFY factor factor_auth_option]
  | DROP factor [DROP factor]
}

user_func_auth_option: {
    IDENTIFIED BY 'auth_string'
        [REPLACE 'current_auth_string']
        [RETAIN CURRENT PASSWORD]
  | DISCARD OLD PASSWORD
}

factor_auth_option: {
    IDENTIFIED BY 'auth_string'
  | IDENTIFIED BY RANDOM PASSWORD
  | IDENTIFIED WITH auth_plugin BY 'auth_string'
  | IDENTIFIED WITH auth_plugin BY RANDOM PASSWORD
  | IDENTIFIED WITH auth_plugin AS 'auth_string'
}

registration_option: {
    factor INITIATE REGISTRATION
  | factor FINISH REGISTRATION SET CHALLENGE_RESPONSE AS 'auth_string'
  | factor UNREGISTER
}

factor: {2 | 3} FACTOR

tls_option: {
   SSL
 | X509
 | CIPHER 'cipher'
 | ISSUER 'issuer'
 | SUBJECT 'subject'
}

resource_option: {
    MAX_QUERIES_PER_HOUR count
  | MAX_UPDATES_PER_HOUR count
  | MAX_CONNECTIONS_PER_HOUR count
  | MAX_USER_CONNECTIONS count
}

password_option: {
    PASSWORD EXPIRE [DEFAULT | NEVER | INTERVAL N DAY]
  | PASSWORD HISTORY {DEFAULT | N}
  | PASSWORD REUSE INTERVAL {DEFAULT | N DAY}
  | PASSWORD REQUIRE CURRENT [DEFAULT | OPTIONAL]
  | FAILED_LOGIN_ATTEMPTS N
  | PASSWORD_LOCK_TIME {N | UNBOUNDED}
}

lock_option: {
    ACCOUNT LOCK
  | ACCOUNT UNLOCK
}

对于每个受影响的账户，ALTER USER 修改对应的行在 mysql.user 系统表中，以反映语句中指定的属性。未指定的属性保留其当前值。

每个账户名称使用 第 8.2.4 节“指定账户名称” 中描述的格式。如果省略主机名部分，默认为 '%'。也可以指定 CURRENT_USER 或 CURRENT_USER() 以引用当前会话关联的账户。

在一个特殊情况下，账户可以使用 USER() 函数指定：

ALTER USER USER() IDENTIFIED BY 'auth_string';

该语法使您可以在不明确指定账户名称的情况下更改自己的密码。（该语法还支持 ALTER USER 身份验证选项 中描述的 REPLACE、RETAIN CURRENT PASSWORD 和 DISCARD OLD PASSWORD 子句。）

对于 ALTER USER 语法，允许在 user 值后跟随 auth_option 值，auth_option 指示账户如何进行身份验证，例如指定身份验证插件、凭据（例如密码）或两者。每个 auth_option 值仅应用于紧挨着它的账户名称。

在 user 规范后，语句可能包括 SSL/TLS、资源限制、密码管理和锁定属性的选项。所有这些选项都是 全局 的，适用于语句中的所有账户。

示例：更改账户的密码并使其过期。结果，用户必须使用指定的密码连接，并在下一次连接时选择新密码：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'new_password' PASSWORD EXPIRE;

示例：修改账户以使用 caching_sha2_password 身份验证插件和给定的密码。要求每 180 天选择新密码，并启用失败登录跟踪，以便三个连续的错误密码导致临时账户锁定两天：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH caching_sha2_password BY 'new_password'
  PASSWORD EXPIRE INTERVAL 180 DAY
  FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 2;

示例：锁定或解锁账户：

ALTER USER 'jeffrey'@'localhost' ACCOUNT LOCK;
ALTER USER 'jeffrey'@'localhost' ACCOUNT UNLOCK;

示例：要求账户使用 SSL 连接，并设置每小时 20 个连接的限制：

ALTER USER 'jeffrey'@'localhost'
  REQUIRE SSL WITH MAX_CONNECTIONS_PER_HOUR 20;

示例：修改多个账户，指定一些每个账户的属性和一些全局属性：

ALTER USER
  'jeffrey'@'localhost'
    IDENTIFIED BY 'jeffrey_new_password',
  'jeanne'@'localhost',
  'josh'@'localhost'
    IDENTIFIED BY 'josh_new_password'
    REPLACE 'josh_current_password'
    RETAIN CURRENT PASSWORD
  REQUIRE SSL WITH MAX_USER_CONNECTIONS 2
  PASSWORD HISTORY 5;

该 IDENTIFIED BY 值仅适用于其紧接着的账户，因此它仅将密码更改为 'jeffrey_new_password' 仅适用于 jeffrey。对于 jeanne，没有每个账户的值（因此密码保持不变）。对于 josh，IDENTIFIED BY 建立了一个新密码（'josh_new_password'），REPLACE 指定了验证用户是否知道当前密码（'josh_current_password'），并且当前密码也保留为账户的次要密码。（因此，josh 可以使用主要或次要密码连接。）

其余属性适用于语句中的所有账户，因此对于两个账户：

示例：丢弃 josh 的次要密码，仅保留主要密码：

ALTER USER 'josh'@'localhost' DISCARD OLD PASSWORD;

如果没有特定类型的选项，账户在该方面保持不变。例如，没有锁定选项，账户的锁定状态保持不变。

账户名称可以跟随一个 auth_option 身份验证选项，该选项指定账户身份验证插件、凭据或两者。它还可以包括一个密码验证子句，指定要被替换的账户当前密码，并管理账户是否具有次要密码。

ALTER USER 允许以下 auth_option 语法：

示例：指定明文密码；使用默认插件：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'password';

示例：指定身份验证插件，连同明文密码值：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH mysql_native_password
             BY 'password';

示例：类似于前一个示例，但另外指定当前密码作为明文值，以满足用户知道当前密码的账户要求：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH mysql_native_password
             BY 'password'
             REPLACE 'current_password';

前面的语句除非当前用户是 jeffrey，否则将失败，因为 REPLACE 只允许当前用户的密码更改。

示例：建立新的主密码，并保留现有的密码作为辅助密码：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'new_password'
  RETAIN CURRENT PASSWORD;

示例：丢弃辅助密码，只保留账户的主密码：

ALTER USER 'jeffery'@'localhost' DISCARD OLD PASSWORD;

示例：指定身份验证插件，连同哈希密码值：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH mysql_native_password
             AS '*6C8989366EAF75BB670AD8EA7A7FC1176A95CEF4';

有关设置密码和身份验证插件的更多信息，请参阅 第 8.2.14 节，“分配账户密码” 和 第 8.2.17 节，“可插拔身份验证”。

ALTER USER 有 ADD、MODIFY 和 DROP 子句，用于添加、修改或删除身份验证因素。在每种情况下，子句指定对一个身份验证因素的操作，optionally 对另一个身份验证因素的操作。对于每个操作，factor 项指定 FACTOR 关键字，后跟数字 2 或 3，以指示操作是否应用于第二个或第三个身份验证因素。（在此上下文中不允许使用 1。要对第一个身份验证因素进行操作，请使用 ALTER USER 身份验证选项 中描述的语法。）

ALTER 用户 多因素身份验证子句约束由 身份验证策略 系统变量定义。例如，身份验证策略 设置控制帐户可能拥有的身份验证因素数量，以及每个因素允许的身份验证方法。请参阅 配置多因素身份验证策略。

当 ALTER 用户 在单个语句中添加、修改或删除第二个和第三个因素时，操作将顺序执行，但如果序列中的任何操作失败，则整个 ALTER 用户 语句将失败。

对于 ADD，每个命名的因素必须不存在，否则无法添加。对于 MODIFY 和 DROP，每个命名的因素必须存在以便修改或删除。如果定义了第二个和第三个因素，删除第二个因素将导致第三个因素变为第二个因素。

该语句删除身份验证因素 2 和 3，从而将帐户从 3FA 转换为 1FA：

ALTER USER 'user' DROP 2 FACTOR 3 FACTOR;

有关其他 ADD、MODIFY 和 DROP 示例，请参阅 多因素身份验证入门。

有关因素特定规则的信息，该规则确定了身份验证子句的默认身份验证插件，请参阅 默认身份验证插件。

ALTER 用户 具有使 FIDO/FIDO2 设备注册和取消注册的子句。有关更多信息，请参阅 使用 WebAuthn 身份验证、WebAuthn 设备取消注册 和 mysql 客户端 --register-factor 选项描述。

该 mysql 客户端 --register-factor 选项，用于 FIDO/FIDO2 设备注册，导致 mysql 客户端生成和执行 INITIATE REGISTRATION 和 FINISH REGISTRATION 语句。这些语句不打算手动执行。

ALTER USER ... DEFAULT ROLE 定义了用户连接到服务器并认证时或在会话中执行 SET ROLE DEFAULT 语句时哪些角色将变为活动状态。

ALTER USER ... DEFAULT ROLE 是 SET DEFAULT ROLE 的替代语法（见 第 15.7.1.9 节，“SET DEFAULT ROLE 语句”）。然而，ALTER USER 只能为单个用户设置默认值，而 SET DEFAULT ROLE 可以为多个用户设置默认值。另一方面，您可以将 CURRENT_USER 作为 ALTER USER 语句的用户名，而不能用于 SET DEFAULT ROLE。

每个用户账户名称使用前面描述的格式。

每个角色名称使用 第 8.2.5 节，“指定角色名称” 中描述的格式。例如：

ALTER USER 'joe'@'10.0.0.1' DEFAULT ROLE administrator, developer;

角色名称的主机名部分，如果省略，默认为 '%'。

跟随 DEFAULT ROLE 关键字的子句允许以下值：

MySQL 可以检查 X.509 证书属性，除了基于用户名和凭据的常规身份验证外。有关 MySQL 中 SSL/TLS 的背景信息，请参阅 第 8.3 节，“使用加密连接”。

要指定 MySQL 账户的 SSL/TLS 相关选项，请使用 REQUIRE 子句，指定一个或多个 tls_option 值。

REQUIRE 选项的顺序无关紧要，但不能指定两次同一个选项。AND 关键字在 REQUIRE 选项之间是可选的。

ALTER 用户 允许这些 tls_option 值：

可以在 REQUIRE 子句中组合 SUBJECT、ISSUER 和 CIPHER 选项：

ALTER USER 'jeffrey'@'localhost'
  REQUIRE SUBJECT '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL demo client certificate/
    CN=client/emailAddress=client@example.com'
  AND ISSUER '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL/CN=CA/emailAddress=ca@example.com'
  AND CIPHER 'EDH-RSA-DES-CBC3-SHA';

可以对账户的服务器资源使用情况施加限制，如 第 8.2.21 节“设置账户资源限制” 中所讨论的那样。为此，请使用带有一个或多个 resource_option 值的 WITH 子句。

WITH 选项的顺序无关紧要，除非指定了多个资源限制，在这种情况下，最后一个实例优先。

ALTER USER 允许这些 resource_option 值：

示例：

ALTER USER 'jeffrey'@'localhost'
  WITH MAX_QUERIES_PER_HOUR 500 MAX_UPDATES_PER_HOUR 100;

ALTER USER 支持多个 password_option 值用于密码管理：

本节描述了密码管理选项的语法。有关密码管理策略的信息，请参阅 第 8.2.15 节，“密码管理”。

如果指定了多个相同类型的密码管理选项，则最后一个选项优先。例如，PASSWORD EXPIRE DEFAULT PASSWORD EXPIRE NEVER 等同于 PASSWORD EXPIRE NEVER。

如果账户密码已过期，或者密码年龄超过允许的生命周期，则客户端将被断开连接或限制其操作（参见 第 8.2.16 节，“服务器处理过期密码”）。受限制的客户端执行操作将导致错误，直到用户设置新的账户密码。

ALTER USER 允许这些 password_option 值来控制密码过期：

ALTER USER 允许这些 password_option 值来控制基于最小密码更改次数的密码重用：

ALTER USER 允许这些 password_option 值来控制基于时间的密码重用：

ALTER USER 允许这些 password_option 值来控制是否需要在更改账户密码时指定当前密码，以验证用户是否知道当前密码：

ALTER USER 允许这些 password_option 值来控制失败登录跟踪：

要启用失败登录跟踪和临时锁定，账户的 FAILED_LOGIN_ATTEMPTS 和 PASSWORD_LOCK_TIME 选项都必须非零。以下语句修改账户，使其在四次连续密码失败后锁定两天：

ALTER USER 'jeffrey'@'localhost'
  FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME 2;

MySQL 8.3 支持用户注释和用户属性，如 第 15.7.1.3 节，“CREATE USER 语句” 所述。这些可以使用 ALTER USER 语句通过 COMMENT 和 ATTRIBUTE 选项修改。您不能在同一个 ALTER USER 语句中指定这两个选项；尝试这样做将导致语法错误。

用户注释和用户属性存储在信息模式 USER_ATTRIBUTES 表中作为 JSON 对象；用户注释存储在该表的 ATTRIBUTE 列中，以 comment 键的值，如后面讨论所示。注释文本可以是任何带引号的文本，替换现有的用户注释。ATTRIBUTE 值必须是有效的 JSON 对象字符串表示形式。这将与现有的用户属性合并，如同使用 JSON_MERGE_PATCH() 函数一样；对于任何重新使用的键，新值将覆盖旧值，如下所示：

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"foo": "bar"} |
+------+-----------+----------------+
1 row in set (0.11 sec)

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"baz": "faz", "foo": "moo"}';
Query OK, 0 rows affected (0.22 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+------------------------------+
| USER | HOST      | ATTRIBUTE                    |
+------+-----------+------------------------------+
| bill | localhost | {"baz": "faz", "foo": "moo"} |
+------+-----------+------------------------------+
1 row in set (0.00 sec)

要从用户属性中删除键和值，设置键为 JSON null（必须小写且不带引号），如下所示：

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"foo": null}';
Query OK, 0 rows affected (0.08 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"baz": "faz"} |
+------+-----------+----------------+
1 row in set (0.00 sec)

要将现有的用户注释设置为空字符串，请使用 ALTER USER ... COMMENT ''。这将在 USER_ATTRIBUTES 表中留下一个空的 comment 值；要完全删除用户注释，请使用 ALTER USER ... ATTRIBUTE ... 选项，并将列键的值设置为 JSON null（不带引号，全部小写）。以下是一系列 SQL 语句的示例：

mysql> ALTER USER 'bill'@'localhost' COMMENT 'Something about Bill';
Query OK, 0 rows affected (0.06 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+---------------------------------------------------+
| USER | HOST      | ATTRIBUTE                                         |
+------+-----------+---------------------------------------------------+
| bill | localhost | {"baz": "faz", "comment": "Something about Bill"} |
+------+-----------+---------------------------------------------------+
1 row in set (0.00 sec)

mysql> ALTER USER 'bill'@'localhost' COMMENT '';
Query OK, 0 rows affected (0.09 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+-------------------------------+
| USER | HOST      | ATTRIBUTE                     |
+------+-----------+-------------------------------+
| bill | localhost | {"baz": "faz", "comment": ""} |
+------+-----------+-------------------------------+
1 row in set (0.00 sec)

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"comment": null}';
Query OK, 0 rows affected (0.07 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"baz": "faz"} |
+------+-----------+----------------+
1 row in set (0.00 sec)

MySQL 支持帐户锁定和解锁使用 ACCOUNT LOCK 和 ACCOUNT UNLOCK 选项，这些选项指定了帐户的锁定状态。有关更多讨论，请参阅 第 8.2.20 节，“帐户锁定”。

如果指定了多个帐户锁定选项，则最后一个选项优先。

ALTER USER ... ACCOUNT UNLOCK 解锁了由于登录失败次数太多而临时锁定的任何帐户。请参阅 第 8.2.15 节，“密码管理”。

ALTER USER 如果成功，则写入二进制日志；否则，回滚并且不进行任何更改。写入二进制日志的语句包括所有命名的用户。如果指定了 IF EXISTS 子句，则包括不存在的用户。

如果原始语句更改了用户的凭据，则写入二进制日志的语句指定了该用户的适用身份验证插件，确定如下：

如果服务器为写入二进制日志的语句中的任何用户添加了默认身份验证插件，则服务器将写入错误日志，命名这些用户。

如果原始语句指定了 FAILED_LOGIN_ATTEMPTS 或 PASSWORD_LOCK_TIME 选项，则写入二进制日志的语句包括该选项。

ALTER USER 语句支持多因素身份验证（MFA）的子句，写入二进制日志，除非是 ALTER USER user factor INITIATE REGISTRATION 语句。