常见的身份验证因子包括以下类型的信息：

“something you know”因子类型依赖于双方身份验证过程中保密的信息。遗憾的是，秘密可能会被泄露：有人可能看到您输入密码或受到钓鱼攻击，服务器端存储的密码可能会在安全漏洞中被暴露等。使用多个密码可以提高安全性，但是每个密码仍然可能会被泄露。使用其他因子类型可以提高安全性，同时降低泄露风险。

MySQL 中的多因素认证实现包括以下元素：

系统变量authentication_policy定义了多因素认证策略。具体来说，它定义了账户可以或需要具有多少个身份验证因素，以及每个因素可用的身份验证方法。

认证策略 的值是一个由逗号分隔的 1, 2 或 3 个元素列表。每个元素对应一个身份验证因素，可以是身份验证插件名称、星号（*）、空或缺失。整个列表被包含在单引号中。例如，以下 认证策略 值包括星号、身份验证插件名称和空元素：

authentication_policy = '*,authentication_webauthn,'

星号（*）表示身份验证方法是必需的，但任何方法都是允许的。空元素表示身份验证方法是可选的，但任何方法都是允许的。缺失元素（无星号、空元素或身份验证插件名称）表示身份验证方法是不允许的。当指定插件名称时，该身份验证方法在创建或修改账户时是必需的。

默认 认证策略 值为 '*,,'（一个星号和两个空元素），这要求第一个因素，并可选地允许第二个和第三个因素。默认 认证策略 值因此与现有 1FA 账户兼容，但也允许创建或修改账户以使用 2FA 或 3FA。

拥有AUTHENTICATION_POLICY_ADMIN特权的用户不受authentication_policy设置所施加的约束。 (否则将出现警告语句。)

authentication_policy值可以在选项文件中定义或使用SET GLOBAL语句指定：

SET GLOBAL authentication_policy='*,*,';

有多个规则规定了如何定义authentication_policy值。请参阅authentication_policy系统变量描述，以获取这些规则的完整账户。以下表格提供了多个authentication_policy示例值和每个政策所建立的策略。

默认情况下，MySQL 使用了一个多因素身份验证策略，该策略允许任何身份验证插件作为第一个因素，并可选地允许第二和第三个身份验证因素。该策略是可配置的；详细信息请见Configuring the Multifactor Authentication Policy。

假设您想让账户首先使用caching_sha2_password插件进行身份验证，然后使用authentication_ldap_saslSASL LDAP插件。 (这假设LDAP身份验证已经按照第8.4.1.7节，“LDAP可插拔身份验证”中描述的方式设置好了，并且用户在LDAP目录中的条目对应于示例中显示的身份验证字符串。) 使用以下语句创建账户：

CREATE USER 'alice'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com';

要连接，用户必须提供两个密码。为了启用使用需要多个密码的 MySQL 服务器账户的身份验证，客户端程序具有--password1、--password2和--password3选项，可以指定最多三个密码。这些选项类似于--password选项，可以在命令行中指定密码值（不安全）或如果没有指定密码值，则提示用户输入一个。

$> mysql --user=alice --password1 --password2
Enter password: (enter factor 1 password)
Enter password: (enter factor 2 password)

例如，您想添加第三个身份验证因素。这可以通过删除并重新创建用户以第三个因素或使用ALTER USER user ADD factor语法来实现。以下都是两种方法的示例：

DROP USER 'alice'@'localhost';
  
CREATE USER 'alice'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com'
  AND IDENTIFIED WITH authentication_webauthn;

ADD 因子 语法包括因子号和FACTOR 关键字：

ALTER USER 'alice'@'localhost' ADD 3 FACTOR IDENTIFIED WITH authentication_webauthn;

ALTER USER 用户 DROP 因子 语法允许删除一个因子。以下示例删除了第三个因子（authentication_webauthn），该因子是在前一个示例中添加的：

ALTER USER 'alice'@'localhost' DROP 3 FACTOR;

ALTER USER 用户 MODIFY 因子 语法允许更改特定因子的插件或身份验证字符串，假设该因子存在。以下示例修改了第二个因子，将身份验证方法从authentication_ldap_sasl更改为authetication_webauthn：

ALTER USER 'alice'@'localhost' MODIFY 2 FACTOR IDENTIFIED WITH authentication_webauthn;

使用SHOW CREATE USER 查看一个账户的身份验证方法：

SHOW CREATE USER 'u1'@'localhost'\G
*************************** 1. row ***************************
CREATE USER for u1@localhost: CREATE USER `u1`@`localhost` 
IDENTIFIED WITH 'caching_sha2_password' AS 'sha2_password' 
AND IDENTIFIED WITH 'authentication_authn' REQUIRE NONE 
PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCK PASSWORD HISTORY 
DEFAULT PASSWORD REUSE INTERVAL DEFAULT PASSWORD REQUIRE 
CURRENT DEFAULT