本节描述如何安装服务器端FIDO身份验证插件。有关安装插件的一般信息，请参阅第 7.6.1 节，“安装和卸载插件”。

要使插件可供服务器使用，插件库文件必须位于 MySQL 插件目录中（由 plugin_dir 系统变量命名的目录）。如果必要，请通过在服务器启动时设置 plugin_dir 的值来配置插件目录的位置。

服务器端插件库文件的基本名称是 authentication_fido。文件名后缀因平台而异（例如，Unix 和 Unix-like 系统的 .so，Windows 的 .dll）。

要在服务器启动时加载插件，请使用 --plugin-load-add 选项来命名包含它的库文件。使用这种插件加载方法，每次服务器启动时都需要给出该选项。

要加载插件，请在 my.cnf 文件中添加一行，如下所示，根据平台调整 .so 后缀：

[mysqld]
plugin-load-add=authentication_fido.so

修改 my.cnf 后，重新启动服务器以使新设置生效。

或者，要在运行时加载插件，请使用以下语句，根据平台调整 .so 后缀：

INSTALL PLUGIN authentication_fido
  SONAME 'authentication_fido.so';

INSTALL PLUGIN 立即加载插件，并在 mysql.plugins 系统表中注册它，以便服务器在每次正常启动时加载它，而不需要 --plugin-load-add。

要验证插件安装，请检查信息模式 PLUGINS 表或使用 SHOW PLUGINS 语句（见 第 7.6.2 节，“获取服务器插件信息”）。例如：

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME = 'authentication_fido';
+---------------------+---------------+
| PLUGIN_NAME         | PLUGIN_STATUS |
+---------------------+---------------+
| authentication_fido | ACTIVE        |
+---------------------+---------------+

如果插件无法初始化，请检查服务器错误日志以获取诊断信息。

要将 MySQL 帐户与 FIDO 身份验证插件关联，请参阅 使用 FIDO 身份验证。

FIDO 身份验证通常用于多因素身份验证（见 第 8.2.18 节，“多因素身份验证”）。本节展示如何将 FIDO 设备基于身份验证集成到多因素帐户中，使用 authentication_fido 插件。

假设服务器正在运行启用了服务器端 FIDO 身份验证插件，如 安装 FIDO 可插拔身份验证 所述，并且客户端 FIDO 插件在客户端主机的插件目录中可用。

还假设 FIDO 身份验证与非 FIDO 身份验证（这意味着 2FA 或 3FA 帐户）一起使用。FIDO 也可以单独用于创建 1FA 帐户，以 passwordless 方式进行身份验证。在这种情况下，设置过程略有不同。有关说明，请参阅 FIDO Passwordless 身份验证。

配置使用 authentication_fido 插件的帐户将与 FIDO 设备关联。因此，在 FIDO 身份验证之前需要进行一次设备注册步骤。设备注册过程具有以下特征：

假设您想让账户首先使用caching_sha2_password插件进行身份验证，然后使用authentication_fido插件。使用类似以下语句创建多因素账户：

CREATE USER 'u2'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_fido;

要连接，提供因子 1 密码以满足身份验证，然后设置--fido-register-factor为因子 2。

$> mysql --user=u2 --password1 --fido-register-factor=2
Enter password: (enter factor 1 password)

一旦因子 1 密码被接受，客户端会话将进入沙盒模式，以便执行因子 2 的设备注册。在注册过程中，您将被提示执行适当的 FIDO 设备操作，例如触摸设备或执行生物识别扫描。

注册过程完成后，服务器连接将被允许。

本节描述了如何使用 FIDO 创建 1FA 账户，以无密码方式进行身份验证。在这种情况下，“无密码” 意味着身份验证发生，但使用的是密码以外的方法，例如安全密钥或生物识别扫描。它不指的是使用密码基于身份验证插件的账户，其中密码为空。这类 “无密码” 完全不安全，不建议使用。

使用 authentication_fido 插件实现无密码身份验证时，以下是先决条件：

要使用 authentication_fido 作为无密码身份验证方法，账户必须以 authentication_fido 作为第一因素身份验证方法创建。还必须指定 INITIAL AUTHENTICATION IDENTIFIED BY 子句（它不支持 2nd 或 3rd 因素）。该子句指定了是否使用随机生成的密码或用户指定的密码来注册 FIDO 设备。设备注册后，服务器删除密码并将账户修改为使 authentication_fido 成为唯一的身份验证方法（1FA 方法）。

所需的 CREATE USER 语法如下：

CREATE USER user
  IDENTIFIED WITH authentication_fido
  INITIAL AUTHENTICATION IDENTIFIED BY {RANDOM PASSWORD | 'auth_string'};

以下示例使用 RANDOM PASSWORD 语法：

mysql> CREATE USER 'u1'@'localhost'
         IDENTIFIED WITH authentication_fido
         INITIAL AUTHENTICATION IDENTIFIED BY RANDOM PASSWORD;
+------+-----------+----------------------+-------------+
| user | host      | generated password   | auth_factor |
+------+-----------+----------------------+-------------+
| u1   | localhost | 9XHK]M{l2rnD;VXyHzeF |           1 |
+------+-----------+----------------------+-------------+

要执行注册，用户必须使用与 INITIAL AUTHENTICATION IDENTIFIED BY 子句关联的密码来身份验证服务器，或者是随机生成的密码，或者是 'auth_string' 值。如果账户是按照上面所示创建的，用户执行以下命令，并在提示符下输入随机生成的密码 (9XHK]M{l2rnD;VXyHzeF)：

$> mysql --user=u1 --password --fido-register-factor=2
Enter password:

使用 --fido-register-factor=2 选项，因为 INITIAL AUTHENTICATION IDENTIFIED BY 子句当前正在作为第一因素身份验证方法。用户因此必须提供临时密码，使用第二因素。成功注册后，服务器删除临时密码，并将账户条目在 mysql.user 系统表中修改为列出 authentication_fido 作为唯一的（1FA）身份验证方法。

创建无密码身份验证账户时，重要的是在 CREATE USER 语句中包括 INITIAL AUTHENTICATION IDENTIFIED BY 子句。服务器将接受没有该子句的语句，但结果账户将不可用，因为没有办法连接到服务器以注册设备。假设您执行以下语句：

CREATE USER 'u2'@'localhost'
  IDENTIFIED WITH authentication_fido;

随后尝试使用账户连接将失败，如下所示：

$> mysql --user=u2 --skip-password
Failed to open FIDO device.
ERROR 1 (HY000): Unknown MySQL error

可以注销与 MySQL 帐户关联的 FIDO 设备。这可能在多种情况下是必要的：

可以由帐户所有者或拥有 CREATE USER 权限的用户注销 FIDO 设备。使用以下语法：

ALTER USER user {2 | 3} FACTOR UNREGISTER;

要重新注册设备或执行新注册，请参阅 使用 FIDO 身份验证 中的说明。

本节概述了 MySQL 和 FIDO 如何共同身份验证 MySQL 用户。有关设置 MySQL 帐户以使用 FIDO 身份验证插件的示例，请参阅 使用 FIDO 身份验证。

使用 FIDO 身份验证的帐户必须在连接到服务器之前执行初始设备注册步骤。设备注册过程如下：

注册成功后，FIDO 身份验证遵循以下过程：