身份验证因素通常包括以下类型的信息：

“你所知道的”因素类型依赖于身份验证过程中双方都保密的信息。不幸的是，秘密可能会被泄露：某人可能会看到你输入密码或欺骗你进行网络钓鱼攻击，服务器端存储的密码可能会因安全漏洞而泄露。安全可以通过使用多个密码来改善，但每个密码仍然可能会泄露。使用其他因素类型可以提高安全性，风险较小。

MySQL 中的多因素身份验证实现包括以下元素：

系统变量 authentication_policy 定义了多因素身份验证策略。具体来说，它定义了账户可以（或需要）拥有的身份验证因素数量和每个因素可以使用的身份验证方法。

变量 authentication_policy 的值是一个由 1、2 或 3 个逗号分隔的元素列表。每个元素在列表中对应一个身份验证因素，可以是身份验证插件名称、星号 (*)、空元素或缺失元素。（例外：元素 1 不能为空或缺失。）整个列表用单引号括起来。例如，以下 authentication_policy 值包括一个星号、一个身份验证插件名称和一个空元素：

authentication_policy = '*,authentication_webauthn,'

星号 (*) 表示身份验证方法是必需的，但任何方法都是允许的。空元素表示身份验证方法是可选的，并且任何方法都是允许的。缺失元素（无星号、空元素或身份验证插件名称）表示身份验证方法是不允许的。当插件名称被指定时，该身份验证方法将被要求用于创建或修改账户时的相应因素。

默认的 authentication_policy 值是 '*,,'（一个星号和两个空元素），这要求一个第一因素，并且可选地允许第二个和第三个因素。因此，默认的 authentication_policy 值与现有的 1FA 账户向后兼容，但也允许创建或修改账户以使用 2FA 或 3FA。

拥有 AUTHENTICATION_POLICY_ADMIN 权限的用户不受 authentication_policy 设置的约束。(警告将出现，表明语句原本不被允许。)

authentication_policy 值可以在选项文件中定义或使用 SET GLOBAL 语句指定：

SET GLOBAL authentication_policy='*,*,';

有多个规则来控制 authentication_policy 值的定义。请参阅 authentication_policy 系统变量描述，以获取这些规则的完整账户。下表提供了多个 authentication_policy 示例值和每个策略。

默认情况下，MySQL 使用多因子身份验证策略，允许任何身份验证插件作为第一个因子，并可选地允许第二个和第三个身份验证因子。该策略是可配置的；详细信息，请参阅 配置多因子身份验证策略。

假设您想让账户首先使用 caching_sha2_password 插件进行身份验证，然后使用 authentication_ldap_sasl SASL LDAP 插件。(这假设 LDAP 身份验证已经按照 第 8.4.1.7 节“LDAP 可插拔身份验证” 中所述设置好了，并且用户在 LDAP 目录中有相应的条目，相应的身份验证字符串如示例所示。) 创建账户使用类似以下语句：

CREATE USER 'alice'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com';

要连接，用户必须提供两个密码。要启用使用多个密码的账户对 MySQL 服务器的身份验证，客户端程序具有 --password1、--password2 和 --password3 选项，允许指定多达三个密码。这些选项类似于 --password 选项，因为它们可以在命令行上指定密码值（这是不安全的），或者如果没有密码值，则提示用户输入密码。对于刚刚创建的账户，factor 1 和 2 需要密码，因此使用 mysql 客户端带有 --password1 和 --password2 选项。mysql 按顺序提示每个密码：

$> mysql --user=alice --password1 --password2
Enter password: (enter factor 1 password)
Enter password: (enter factor 2 password)

假设您想添加第三个身份验证因子。这可以通过删除并重新创建用户以添加第三个因子或使用 ALTER USER user ADD factor 语法来实现。两种方法都显示在下面：

DROP USER 'alice'@'localhost';
  
CREATE USER 'alice'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com'
  AND IDENTIFIED WITH authentication_webauthn;

ADD factor 语法包括因子编号和 FACTOR 关键字：

ALTER USER 'alice'@'localhost' ADD 3 FACTOR IDENTIFIED WITH authentication_webauthn;

ALTER USER user DROP factor 语法允许删除一个因子。以下示例删除了之前添加的第三个因子 (authentication_webauthn)：

ALTER USER 'alice'@'localhost' DROP 3 FACTOR;

ALTER USER user MODIFY factor 语法允许更改特定因子的插件或身份验证字符串，前提是该因子存在。以下示例修改了第二个因子，将身份验证方法从 authentication_ldap_sasl 更改为 authetication_webauthn：

ALTER USER 'alice'@'localhost' MODIFY 2 FACTOR IDENTIFIED WITH authentication_webauthn;

使用 SHOW CREATE USER 查看账户定义的身份验证方法：

SHOW CREATE USER 'u1'@'localhost'\G
*************************** 1. row ***************************
CREATE USER for u1@localhost: CREATE USER `u1`@`localhost` 
IDENTIFIED WITH 'caching_sha2_password' AS 'sha2_password' 
AND IDENTIFIED WITH 'authentication_authn' REQUIRE NONE 
PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCK PASSWORD HISTORY 
DEFAULT PASSWORD REUSE INTERVAL DEFAULT PASSWORD REQUIRE 
CURRENT DEFAULT