ALTER USER [IF EXISTS]
    user [auth_option] [, user [auth_option]] ...
    [REQUIRE {NONE | tls_option [[AND] tls_option] ...}]
    [WITH resource_option [resource_option] ...]
    [password_option | lock_option] ...
    [COMMENT 'comment_string' | ATTRIBUTE 'json_object']

ALTER USER [IF EXISTS]
    USER() user_func_auth_option

ALTER USER [IF EXISTS]
    user [registration_option]

ALTER USER [IF EXISTS]
    USER() [registration_option]

ALTER USER [IF EXISTS]
    user DEFAULT ROLE
    {NONE | ALL | role [, role ] ...}

user:
    (see Section 8.2.4, “Specifying Account Names”)

auth_option: {
    IDENTIFIED BY 'auth_string'
        [REPLACE 'current_auth_string']
        [RETAIN CURRENT PASSWORD]
  | IDENTIFIED BY RANDOM PASSWORD
        [REPLACE 'current_auth_string']
        [RETAIN CURRENT PASSWORD]
  | IDENTIFIED WITH auth_plugin
  | IDENTIFIED WITH auth_plugin BY 'auth_string'
        [REPLACE 'current_auth_string']
        [RETAIN CURRENT PASSWORD]
  | IDENTIFIED WITH auth_plugin BY RANDOM PASSWORD
        [REPLACE 'current_auth_string']
        [RETAIN CURRENT PASSWORD]
  | IDENTIFIED WITH auth_plugin AS 'auth_string'
  | DISCARD OLD PASSWORD
  | ADD factor factor_auth_option [ADD factor factor_auth_option]
  | MODIFY factor factor_auth_option [MODIFY factor factor_auth_option]
  | DROP factor [DROP factor]
}

user_func_auth_option: {
    IDENTIFIED BY 'auth_string'
        [REPLACE 'current_auth_string']
        [RETAIN CURRENT PASSWORD]
  | DISCARD OLD PASSWORD
}

factor_auth_option: {
    IDENTIFIED BY 'auth_string'
  | IDENTIFIED BY RANDOM PASSWORD
  | IDENTIFIED WITH auth_plugin BY 'auth_string'
  | IDENTIFIED WITH auth_plugin BY RANDOM PASSWORD
  | IDENTIFIED WITH auth_plugin AS 'auth_string'
}

registration_option: {
    factor INITIATE REGISTRATION
  | factor FINISH REGISTRATION SET CHALLENGE_RESPONSE AS 'auth_string'
  | factor UNREGISTER
}

factor: {2 | 3} FACTOR

tls_option: {
   SSL
 | X509
 | CIPHER 'cipher'
 | ISSUER 'issuer'
 | SUBJECT 'subject'
}

resource_option: {
    MAX_QUERIES_PER_HOUR count
  | MAX_UPDATES_PER_HOUR count
  | MAX_CONNECTIONS_PER_HOUR count
  | MAX_USER_CONNECTIONS count
}

password_option: {
    PASSWORD EXPIRE [DEFAULT | NEVER | INTERVAL N DAY]
  | PASSWORD HISTORY {DEFAULT | N}
  | PASSWORD REUSE INTERVAL {DEFAULT | N DAY}
  | PASSWORD REQUIRE CURRENT [DEFAULT | OPTIONAL]
  | FAILED_LOGIN_ATTEMPTS N
  | PASSWORD_LOCK_TIME {N | UNBOUNDED}
}

lock_option: {
    ACCOUNT LOCK
  | ACCOUNT UNLOCK
}

ALTER USER 语句对每个受影响的账户，修改mysql.user 系统表中的相应行，以反映语句中指定的属性。未指定的属性保持当前值不变。

每个账户名称遵循第8.2.4节，“指定账户名称”的格式。账户名称中的主机名部分，如果省略，默认为'%'。也可以使用CURRENT_USER或CURRENT_USER()来引用当前会话关联的账户。

只有在一个情况下，账户可以使用USER()函数指定：

ALTER USER USER() IDENTIFIED BY 'auth_string';

这句语法使得您可以不用明确指定账户名称来更改自己的密码。（语法还支持在ALTER USER 认证选项中描述的REPLACE、RETAIN CURRENT PASSWORD和DISCARD OLD PASSWORD子句。）

ALTER USER 语句中，auth_option 值可以在 user 值后面出现，auth_option 表示账户的身份验证方式，例如指定账户认证插件、凭据（例如密码）或两者。每个 auth_option 值只应用于紧随其后的账户。

在 user 指定后，语句可能包括 SSL/TLS、资源限制、密码管理和锁定属性的选项。所有这些选项都是语句级别的，应用于语句中所有账户。

示例：更改账户的密码并使其过期。结果，该用户必须使用指定的密码连接，并在下一次连接时选择新的密码：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'new_password' PASSWORD EXPIRE;

示例：将账户修改为使用 caching_sha2_password 认证插件和给定的密码。要求每 180 天更改一次密码，并启用失败登录跟踪，直到三次连续错误密码导致两天的临时账户锁定：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH caching_sha2_password BY 'new_password'
  PASSWORD EXPIRE INTERVAL 180 DAY
  FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 2;

示例：锁定或解锁账户：

ALTER USER 'jeffrey'@'localhost' ACCOUNT LOCK;
ALTER USER 'jeffrey'@'localhost' ACCOUNT UNLOCK;

示例：要求账户使用 SSL 连接，并限制每小时 20 个连接：

ALTER USER 'jeffrey'@'localhost'
  REQUIRE SSL WITH MAX_CONNECTIONS_PER_HOUR 20;

示例：修改多个账户，指定一些账户属性和一些全局属性：

ALTER USER
  'jeffrey'@'localhost'
    IDENTIFIED BY 'jeffrey_new_password',
  'jeanne'@'localhost',
  'josh'@'localhost'
    IDENTIFIED BY 'josh_new_password'
    REPLACE 'josh_current_password'
    RETAIN CURRENT PASSWORD
  REQUIRE SSL WITH MAX_USER_CONNECTIONS 2
  PASSWORD HISTORY 5;

在jeffrey后面的IDENTIFIED BY值仅应用于其前一个账户，因此将'jeffrey_new_password'设置为jeffrey的密码。对于jeanne，没有单独账户值，因此密码保持不变。对于josh，IDENTIFIED BY设置了新密码('josh_new_password'），并且指定了REPLACE以验证执行ALTER USER语句的用户知道当前密码('josh_current_password'），并且将当前密码保留为账户次要密码。因此，josh可以使用主或次要密码连接。

剩余的属性对所有在语句中指定的账户都有效，因此对于两个账户：

示例：将josh的次要密码丢弃，仅保留主密码：

ALTER USER 'josh'@'localhost' DISCARD OLD PASSWORD;

在缺少某种类型选项时，账户保持不变。例如，在没有锁定选项的情况下，账户的锁定状态不变。

账户名可能后跟一个auth_option认证选项，指定账户认证插件、凭证或两者。它也可以包括当前密码的更换子句，以及管理账户是否有副本密码的子句。

ALTER USER 允许这些auth_option 语法：

示例：指定明文密码；使用默认插件：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'password';

示例：指定认证插件，带有明文密码值：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH mysql_native_password
             BY 'password';

示例：像前一个示例一样，但是在加上当前密码的明文值，以满足任何账户要求用户知道该密码：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH mysql_native_password
             BY 'password'
             REPLACE 'current_password';

前面的语句失败，因为REPLACE仅对当前用户的密码进行更改是允许的。

示例：建立新的主密码，并将现有密码保留为次要密码：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED BY 'new_password'
  RETAIN CURRENT PASSWORD;

示例：丢弃次要密码，账户只保留主密码：

ALTER USER 'jeffery'@'localhost' DISCARD OLD PASSWORD;

示例：指定认证插件，带有哈希密码值：

ALTER USER 'jeffrey'@'localhost'
  IDENTIFIED WITH mysql_native_password
             AS '*6C8989366EAF75BB670AD8EA7A7FC1176A95CEF4';

关于设置密码和身份验证插件的更多信息，请见第8.2.14节，“账户密码分配”，和第8.2.17节，“可插拔身份验证”。

ALTER USER 语句中有ADD、MODIFY和DROP子句，用于添加、修改或删除身份验证因素。在每个操作中，子句指定要执行的操作，并可选地指定对另一个身份验证因素的操作。对于每个操作，factor项目指定了以数字2或3开头的FACTOR关键字，表示该操作是否应用于第二或第三个身份验证因素。（1不允许在这个上下文中使用。要对第一个身份验证因素进行操作，请见ALTER USER 身份验证 Options。）

ALTER USER 多因素身份验证子句约束由authentication_policy系统变量定义。例如，authentication_policy设置控制账户可以拥有的身份验证因素数量，以及每个因素允许的身份验证方法。请参阅配置多因素身份验证策略。

ALTER USER 在单个语句中添加、修改或删除第二和第三因素时，操作将顺序执行，但如果语句中的任何操作失败整个ALTER USER语句失败。

对于ADD，每个命名因素不能已经存在或不能添加。对于MODIFY和DROP，每个命名因素必须存在以便修改或删除。如果定义了第二和第三因素，删除第二因素将导致第三因素变为第二因素。

这个语句删除身份验证因素2和3，效果是将账户从3FA转换到1FA：

ALTER USER 'user' DROP 2 FACTOR 3 FACTOR;

关于额外的ADD、MODIFY和DROP示例，见.

关于因子特定的规则，用于确定未指定插件的身份验证子句的默认身份验证插件，请见默认身份验证插件.

ALTER USER 中有注册和注销 FIDO/FIDO2 设备的子句。更多信息，见、，和mysql 客户端--register-factor 选项描述。

命令行客户端mysql 的 --register-factor 选项，用于 FIDO/FIDO2 设备注册，导致命令行客户端生成并执行 INITIATE REGISTRATION 和 FINISH REGISTRATION 语句。这些语句不适合手动执行。

ALTER USER ... DEFAULT ROLE 定义了用户连接到服务器并身份验证时激活的角色，也可以在会话中执行SET ROLE DEFAULT 语句激活。

ALTER USER ... DEFAULT ROLE 是 SET DEFAULT ROLE 的备用语法（见第15.7.1.9节，“SET DEFAULT ROLE 语句”）。然而，ALTER USER 只能为单个用户设置默认值，而 SET DEFAULT ROLE 可以为多个用户设置默认值。反之，你可以在ALTER USER 语句中指定 CURRENT_USER，而不能在SET DEFAULT ROLE 中。

每个用户账户名都使用之前描述的格式。

每个角色名都使用第8.2.5节，“指定角色名” 描述的格式。例如：

ALTER USER 'joe'@'10.0.0.1' DEFAULT ROLE administrator, developer;

如果省略了角色的主机名称部分，默认值为 '%'。

DEFAULT ROLE 子句允许这些值：

MySQL 可以在身份验证中检查 X.509 证书属性，除了基于用户名和凭证的身份验证。关于 MySQL 使用 SSL/TLS 的背景信息，请参见第8.3节，“使用加密连接”。

要为 MySQL 账户指定 SSL/TLS 相关选项，使用一个指定一个或多个tls_option 值的 REQUIRE 子句。

REQUIRE 选项的顺序不重要，但不能指定同一个选项两次。AND 关键字在 REQUIRE 选项之间是可选的。

ALTER USER 允许这些tls_option 值：

SUBJECT、ISSUER 和 CIPHER 选项可以在REQUIRE子句中组合。

ALTER USER 'jeffrey'@'localhost'
  REQUIRE SUBJECT '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL demo client certificate/
    CN=client/emailAddress=client@example.com'
  AND ISSUER '/C=SE/ST=Stockholm/L=Stockholm/
    O=MySQL/CN=CA/emailAddress=ca@example.com'
  AND CIPHER 'EDH-RSA-DES-CBC3-SHA';

可以对服务器资源的使用进行限制，详见第8.2.21节，“设置帐户资源限制”。要实现此功能，请使用指定一个或多个resource_option值的WITH子句。

WITH选项的顺序无关紧要，除非给定的资源限制被指定多次，那么最后一个实例优先生效。

ALTER USER 允许这些resource_option值：

示例：

ALTER USER 'jeffrey'@'localhost'
  WITH MAX_QUERIES_PER_HOUR 500 MAX_UPDATES_PER_HOUR 100;

ALTER USER 支持多种password_option值来管理密码：

本节描述了密码管理选项的语法。关于密码管理策略，请见第8.2.15节，“密码管理”。

指定同一类型的多个密码管理选项，最后一个优先生效。例如，PASSWORD EXPIRE DEFAULT PASSWORD EXPIRE NEVER 等于 PASSWORD EXPIRE NEVER。

如果客户端的账户密码已过期（手动或自动），服务器将断开连接或限制其操作（见第8.2.16节，“服务器处理过期密码”）。受限制的客户端执行操作将导致错误，直到用户重新设置账户密码。

ALTER USER 语句允许控制密码过期的这些password_option值：

ALTER USER 允许控制前密码重用的这些password_option值，基于最小密码更改次数：

ALTER USER 允许控制前密码重用的这些password_option值，基于时间间隔：

ALTER USER 允许这些 密码选项 值来控制是否必须指定当前密码，以验证尝试更改账户密码的用户实际知道当前密码：

ALTER USER 允许控制失败登录跟踪的这些 password_option 值：

要使失败登录跟踪和临时锁定生效，账户的 FAILED_LOGIN_ATTEMPTS 和 PASSWORD_LOCK_TIME 选项都必须非零。以下语句修改账户，使其在四次连续错误密码后保持锁定两天：

ALTER USER 'jeffrey'@'localhost'
  FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME 2;

MySQL 8.4 支持用户注释和用户属性，详见第15.7.1.3节，“CREATE USER 语句”。这些可以使用ALTER USER语句中的COMMENT和ATTRIBUTE选项来修改；不能在同一个ALTER USER语句中指定两个选项，否则会出现语法错误。

用户注释和用户属性存储在信息架构USER_ATTRIBUTES表中作为 JSON 对象；用户注释存储在该表的ATTRIBUTE 列中的comment键值对中，后续讨论中将展示。COMMENT文本可以是任意引号括起来的文本，替换任何现有用户注释。ATTRIBUTE值必须是有效的 JSON 对象字符串。这与使用JSON_MERGE_PATCH()函数对现有用户属性和新属性进行合并一样；对于重复使用的键，新的值将覆盖旧值，如下所示：

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"foo": "bar"} |
+------+-----------+----------------+
1 row in set (0.11 sec)

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"baz": "faz", "foo": "moo"}';
Query OK, 0 rows affected (0.22 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+------------------------------+
| USER | HOST      | ATTRIBUTE                    |
+------+-----------+------------------------------+
| bill | localhost | {"baz": "faz", "foo": "moo"} |
+------+-----------+------------------------------+
1 row in set (0.00 sec)

要删除键和其值从用户属性中，设置键为 JSON null（必须是小写且未引号），如下所示：

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"foo": null}';
Query OK, 0 rows affected (0.08 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"baz": "faz"} |
+------+-----------+----------------+
1 row in set (0.00 sec)

将现有用户注释设置为空字符串，使用ALTER USER ... COMMENT ''。这样在USER_ATTRIBUTES表中留下一个空的comment值，完全删除用户注释，可以使用ALTER USER ... ATTRIBUTE ...语句，设置该列的值为JSON null(不加引号，小写)。下面是一个 SQL 语句序列的示例：

mysql> ALTER USER 'bill'@'localhost' COMMENT 'Something about Bill';
Query OK, 0 rows affected (0.06 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+---------------------------------------------------+
| USER | HOST      | ATTRIBUTE                                         |
+------+-----------+---------------------------------------------------+
| bill | localhost | {"baz": "faz", "comment": "Something about Bill"} |
+------+-----------+---------------------------------------------------+
1 row in set (0.00 sec)

mysql> ALTER USER 'bill'@'localhost' COMMENT '';
Query OK, 0 rows affected (0.09 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+-------------------------------+
| USER | HOST      | ATTRIBUTE                     |
+------+-----------+-------------------------------+
| bill | localhost | {"baz": "faz", "comment": ""} |
+------+-----------+-------------------------------+
1 row in set (0.00 sec)

mysql> ALTER USER 'bill'@'localhost' ATTRIBUTE '{"comment": null}';
Query OK, 0 rows affected (0.07 sec)

mysql> SELECT * FROM INFORMATION_SCHEMA.USER_ATTRIBUTES
    ->     WHERE USER='bill' AND HOST='localhost';
+------+-----------+----------------+
| USER | HOST      | ATTRIBUTE      |
+------+-----------+----------------+
| bill | localhost | {"baz": "faz"} |
+------+-----------+----------------+
1 row in set (0.00 sec)

MySQL 支持使用ACCOUNT LOCK和ACCOUNT UNLOCK选项来锁定或解锁账户，指定账户的锁定状态。更多信息请见第8.2.20节，“账户锁定”。

如果指定了多个账户锁定选项，最后一个将生效。

ALTER USER ... ACCOUNT UNLOCK解锁因登录失败次数过多而临时锁定的账户。见第8.2.15节，“密码管理”。

ALTER USER 如果成功，写入二进制日志，但如果失败，则回滚并且不做任何修改。写入二进制日志的语句包括所有指定的用户。如果给定了IF EXISTS子句，这还包括不存在或未被修改的用户。

如果原始语句对用户进行身份验证，写入二进制日志的语句指定该用户适用的身份验证插件，以以下方式确定：

如果服务器在写入二进制日志时添加了默认身份验证插件，对于那些用户，会将其名称写入错误日志。

如果原始语句指定了FAILED_LOGIN_ATTEMPTS或PASSWORD_LOCK_TIME选项，写入二进制日志的语句包括该选项。

ALTER USER 语句，支持多因素身份验证（MFA）的子句除去ALTER USER user factor INITIATE REGISTRATION语句外，写入二进制日志。