[ERROR] Column count of mysql.user is wrong. Expected
49, found 47. The table is probably corrupted
[Warning] ACL table mysql.password_history missing.
Some operations may fail.

一些身份验证插件将账户凭证存储在 MySQL 的 mysql.user 系统表中：

大多数讨论在本节适用于这些身份验证插件，因为大多数密码管理功能描述在这里基于 MySQL 自己处理的内部凭证存储。其他身份验证插件将账户凭证存储在 MySQL 之外的系统中。对于使用这些插件的账户，密码管理必须在外部系统中处理。

唯一的例外是，失败登录跟踪和临时账户锁定的选项适用于所有账户，不仅仅是使用内部凭证存储的账户，因为 MySQL 能够评估任何账户的登录尝试状态，无论它使用内部或外部凭证存储。

有关单个身份验证插件的信息，请参阅 第 8.4.1 节，“身份验证插件”。

MySQL 允许数据库管理员手动使账户密码过期，并建立自动密码过期策略。过期策略可以在全局范围内建立，并且可以在每个账户上设置为遵循全局策略或覆盖全局策略的特定行为。

要手动使账户密码过期，请使用 ALTER USER 语句：

ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE;

这将在 mysql.user 系统表中的相应行中标记密码过期。

根据策略，密码过期是自动的，基于密码年龄，该年龄从账户的最近一次密码更改日期和时间计算。 mysql.user 系统表表明每个账户的密码最后一次更改的日期和时间，服务器在客户端连接时自动将密码视为过期，如果其年龄大于其允许的生命周期。这不需要手动密码过期。

要建立全球自动密码过期策略，使用 default_password_lifetime 系统变量。其默认值为 0，禁用自动密码过期。如果 default_password_lifetime 的值是一个正整数 N，它表明允许的密码生命周期，以便密码必须每 N 天更改一次。

示例：

全球密码过期策略适用于所有未设置为覆盖它的账户。要为个别账户建立策略，可以使用 PASSWORD EXPIRE 选项的 CREATE USER 和 ALTER USER 语句。见 第 15.7.1.3 节，“CREATE USER 语句”，和 第 15.7.1.1 节，“ALTER USER 语句”。

示例账户特定语句：

当客户端成功连接时，服务器确定账户密码是否已过期：

如果密码已过期（无论是手动还是自动），服务器将断开客户端连接或限制其操作（见 第 8.2.16 节，“服务器处理过期密码”）。客户端执行的操作将导致错误，直到用户建立新的账户密码：

mysql> SELECT 1;
ERROR 1820 (HY000): You must reset your password using ALTER USER
statement before executing this statement.

mysql> ALTER USER USER() IDENTIFIED BY 'password';
Query OK, 0 rows affected (0.01 sec)

mysql> SELECT 1;
+---+
| 1 |
+---+
| 1 |
+---+
1 row in set (0.00 sec)

在客户端重置密码后，服务器恢复正常访问权限，包括当前会话和后续连接。管理员用户也可以重置账户密码，但任何现有的限制会话仍将保持限制。客户端必须断开连接并重新连接，以便执行语句。

MySQL 允许对以前的密码进行限制。可以根据密码更改次数、时间间隔或两者来建立限制策略。可以在全局范围内建立限制策略，并且可以让每个账户选择遵守全局策略或覆盖全局策略以实现特定的账户行为。

账户的密码历史记录包括它曾经被分配的密码。MySQL 可以限制新密码不能来自这个历史记录：

要在全局范围内建立密码重用策略，请使用 password_history 和 password_reuse_interval 系统变量。

示例：

全局密码重用策略适用于所有未设置为覆盖全局策略的账户。要为个别账户建立策略，请使用 PASSWORD HISTORY 和 PASSWORD REUSE INTERVAL 选项的 CREATE USER 和 ALTER USER 语句。见 第 15.7.1.3 节，“CREATE USER 语句” 和 第 15.7.1.1 节，“ALTER USER 语句”。

示例账户特定语句：

可以要求在更改账户密码时验证当前密码，以防止恶意用户在不知道当前密码的情况下更改密码。这种策略可以防止以下情况：

密码验证策略可以在全局范围内建立，并且可以让每个账户选择遵守全局策略或覆盖全局策略以实现特定的账户行为。

对于每个账户，其 mysql.user 行指示是否需要验证当前密码以更改密码。该设置是通过 CREATE USER 和 ALTER USER 语句的 PASSWORD REQUIRE 选项建立的：

换言之，如果账户设置不是 PASSWORD REQUIRE CURRENT DEFAULT，则账户设置优先于由 password_require_current 系统变量建立的全局策略。否则，账户将遵循 password_require_current 设置。

默认情况下，密码验证是可选的：password_require_current 禁用，账户创建时没有 PASSWORD REQUIRE 选项默认为 PASSWORD REQUIRE CURRENT DEFAULT。

以下表格显示了每个账户设置如何与 password_require_current 系统变量值交互以确定账户密码验证策略。

要建立全局密码验证策略，请使用 password_require_current 系统变量。其默认值为 OFF，因此不需要账户密码更改指定当前密码。

示例：

全局密码验证策略适用于所有未设置为覆盖它的帐户。要为个体帐户建立策略，请使用 PASSWORD REQUIRE 选项的 CREATE USER 和 ALTER USER 语句。请参阅 第 15.7.1.3 节，“CREATE USER 语句” 和 第 15.7.1.1 节，“ALTER USER 语句”。

示例帐户特定语句：

当前密码的验证在用户使用 ALTER USER 或 SET PASSWORD 语句更改密码时生效。示例使用 ALTER USER，它比 SET PASSWORD 更好，但这里描述的原则对两种语句都是相同的。

在密码更改语句中，REPLACE 子句指定要被替换的当前密码。示例：

该 REPLACE 子句的工作方式如下：

用户帐户可以拥有双密码，分别称为主密码和次要密码。双密码功能使得可以在以下场景中无缝地执行凭证更改：

考虑在上述场景中，当帐户仅允许单个密码时，如何执行凭证更改。这种情况下，需要紧密合作，以便在所有服务器上同时更改帐户密码，并更新所有使用该帐户的应用程序以使用新密码。这可能会导致停机时间，期间服务器或应用程序不可用。

使用双密码，可以更容易地执行凭证更改，分阶段进行，且无需停机：

MySQL 实现双密码功能，语法保存和丢弃辅助密码：

假设在之前描述的凭证更改场景中，使用帐户名为 'appuser1'@'host1.example.com' 的应用程序连接到服务器，并且帐户密码将从 'password_a' 更改为 'password_b'。

要执行此凭证更改，请使用 ALTER USER 语句如下：

RETAIN CURRENT PASSWORD 和 DISCARD OLD PASSWORD 子句具有以下效果：

修改辅助密码的语句需要以下权限：

CREATE USER、 ALTER USER 和 SET PASSWORD 语句可以生成随机密码用于用户账户，而不是需要管理员明确指定的文字密码。请参阅每个语句的描述以获取语法详细信息。本节描述了生成的随机密码的共同特征。

默认情况下，生成的随机密码的长度为 20 个字符。该长度由 generated_random_password_length 系统变量控制，范围从 5 到 255。

对于每个账户，语句生成随机密码，并将其存储在 mysql.user 系统表中，适当地哈希用于账户身份验证插件。语句还将明文密码返回到结果集的行中，以便用户或执行语句的应用程序可用。结果集的列名为 user、host、generated password 和 auth_factor，分别表示用户名称和主机名称值，标识 mysql.user 系统表中的受影响行，明文生成的密码和身份验证因子显示的密码值适用。

mysql> CREATE USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD,
       'u3'@'%.org' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | iOeqf>Mh9:;XD&qn(Hl} |           1 |
| u2   | %.example.com | sXTSAEvw3St-R+_-C3Vb |           1 |
| u3   | %.org         | nEVe%Ctw/U/*Md)Exc7& |           1 |
+------+---------------+----------------------+-------------+
mysql> ALTER USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | Seiei:&cw}8]@3OA64vh |           1 |
| u2   | %.example.com | j@&diTX80l8}(NiHXSae |           1 |
+------+---------------+----------------------+-------------+
mysql> SET PASSWORD FOR 'u3'@'%.org' TO RANDOM;
+------+-------+----------------------+-------------+
| user | host  | generated password   | auth_factor |
+------+-------+----------------------+-------------+
| u3   | %.org | n&cz2xF;P3!U)+]Vw52H |           1 |
+------+-------+----------------------+-------------+

生成随机密码的 CREATE USER、ALTER USER 或 SET PASSWORD 语句将被写入二进制日志作为 CREATE USER 或 ALTER USER 语句，带有 IDENTIFIED WITH auth_plugin AS 'auth_string' 子句，其中 auth_plugin 是账户身份验证插件，'auth_string' 是账户哈希密码值。

如果安装了 validate_password 组件，那么它实施的策略对生成的密码没有影响。（密码验证的目的是帮助人类创建更好的密码。）

管理员可以配置用户账户，使得连续登录失败导致临时账户锁定。

“登录失败” 在这里指的是客户端在连接尝试期间提供不正确密码的失败，不包括由于未知用户或网络问题而无法连接的失败。对于具有双密码的账户（见 双密码支持），任一账户密码都被视为正确。

需要的登录失败次数和锁定时间可以根据每个账户使用 FAILED_LOGIN_ATTEMPTS 和 PASSWORD_LOCK_TIME 选项配置，使用 CREATE USER 和 ALTER USER 语句。例如：

CREATE USER 'u1'@'localhost' IDENTIFIED BY 'password'
  FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 3;

ALTER USER 'u2'@'localhost'
  FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME UNBOUNDED;

当太多连续登录失败时，客户端将收到以下错误：

ERROR 3957 (HY000): Access denied for user user.
Account is blocked for D day(s) (R day(s) remaining)
due to N consecutive failed logins.

使用以下选项：

每个选项的允许值 N 的范围从 0 到 32767。值为 0 将禁用该选项。

失败登录跟踪和临时帐户锁定的特征是：

当服务器读取授权表时，它将初始化每个帐户的状态信息，包括是否启用失败登录跟踪、帐户当前是否临时锁定、锁定开始时间（如果锁定）和失败前锁定所需的失败次数（如果未锁定）。

帐户的状态信息可以被重置，这意味着失败计数将被重置，帐户将被解锁（如果当前临时锁定）。帐户重置可以是全局的，对所有帐户，或者是每个帐户：

失败登录跟踪与用于检查凭证的登录帐户相关。如果使用代理用户，则跟踪将应用于代理用户，而不是代理的用户。也就是说，跟踪与 USER() 指示的帐户相关，而不是 CURRENT_USER() 指示的帐户相关。有关代理用户和代理用户之间的区别的信息，请参阅 第 8.2.19 节，“Proxy Users”。