[ERROR] Column count of mysql.user is wrong. Expected
49, found 47. The table is probably corrupted
[Warning] ACL table mysql.password_history missing.
Some operations may fail.

一些认证插件将帐户凭据存储在 MySQL 内部，使用 mysql.user 系统表：

本节中讨论的大多数密码管理功能都适用于这些认证插件，因为大多数基于 MySQL 自身处理的内部凭据存储的密码管理能力。其他认证插件将帐户凭据存储在外部 MySQL 之外的系统上。在这种情况下，对于使用外部凭据存储的账户，必须对该系统进行外部凭据管理。

失败登录跟踪和临时账户锁定选项适用于所有账户，不仅限于使用内部凭据存储的账户，因为 MySQL 无论账户是否使用内部或外部凭据存储，都能评估任何账户的登录尝试状态。

有关单个认证插件的信息，请参见 第 8.4.1 节“认证插件”。

MySQL 允许数据库管理员手动过期帐户密码，并为自动密码过期策略建立政策。过期策略可以是全局的，单个账户也可以设置为遵循全局策略或覆盖全局策略以特定于每个账户的行为。

要手动过期一个帐户密码，请使用 ALTER USER 语句：

ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE;

此操作在 mysql.user 系统表中对应的行中标记密码已过期。

根据策略自动过期的密码是基于账户最近一次密码更改的日期和时间进行评估的。mysql.user 系统表为每个账户记录了其最后一次密码更改的日期和时间，服务器在客户端连接时自动将密码视为过期，如果其年龄超过其允许的生命周期。这与不需要显式手动密码过期操作一起工作。

为了在所有服务器上自动设置密码过期政策，请使用default_password_lifetime系统变量。它的默认值为0，这意味着不启用自动密码过期。如果default_password_lifetime的值是一个正整数N，它表示允许的密码有效期，因此必须每隔N天更换密码。

示例：

全局密码过期政策适用于所有没有被设置为覆盖它的账户。要为单个账户设置策略，请使用CREATE USER和ALTER USER语句中的PASSWORD EXPIRE选项。请参阅Section 15.7.1.3, “CREATE USER 语句”和Section 15.7.1.1, “ALTER USER 语句”。

示例账户特定的语句：

当客户端成功连接时，服务器将确定账户密码是否已过期：

如果密码已过期（无论是手动还是自动），服务器将断开客户端连接或限制其操作权限（请参阅Section 8.2.16, “服务器处理过期密码”）。客户端执行受限制操作时将收到错误，直到用户为账户设置新密码为止：

mysql> SELECT 1;
ERROR 1820 (HY000): You must reset your password using ALTER USER
statement before executing this statement.

mysql> ALTER USER USER() IDENTIFIED BY 'password';
Query OK, 0 rows affected (0.01 sec)

mysql> SELECT 1;
+---+
| 1 |
+---+
| 1 |
+---+
1 row in set (0.00 sec)

客户端重置密码后，服务器会恢复正常访问权限，并且对于该账户的所有后续连接也会恢复。管理员用户可以重置账户密码，但任何现有的受限制会话将继续受到限制。使用该账户的客户端必须断开并重新连接，以便能够成功执行语句。

MySQL 允许对之前密码的重用进行限制。重用限制可以基于密码更改次数、时间间隔或两者都来建立。重用策略可以在全局层面上建立，并且单个账户可以被设置为遵循全局策略或覆盖全局策略并具有特定于账户的行为。

一个账户的密码历史包括它过去分配过的密码。MySQL 可以限制新密码不能来自这个历史：

为了在服务器级别上建立密码重用策略，可以使用password_history和password_reuse_interval系统变量。

示例：

全局密码重用策略适用于所有没有被设置为覆盖它的账户。为了在单个账户上建立策略，可以使用CREATE USER和ALTER USER语句中的PASSWORD HISTORY和PASSWORD REUSE INTERVAL选项。请参阅第15.7.1.3节，“CREATE USER Statement”和第15.7.1.1节，“ALTER USER Statement”。

示例账户特定的语句：

可以要求更改账户密码时验证尝试，通过指定要替换的当前密码。这使得DBA能够防止用户在没有证明他们知道当前密码的情况下更改密码。这样的更改可能发生在一个用户暂时离开终端会话而未登录的情况下，一名恶意用户使用该会话更改原始用户的MySQL密码。这样做的后果不幸的是：

密码验证策略可以在全局层面上建立，并且单个账户可以设置为遵循全局策略或覆盖全局策略的特定行为。

对于每个账户，其mysql.user行指示是否有账户特定的设置要求在更改密码尝试时验证当前密码。该设置由CREATE USER和ALTER USER语句中的PASSWORD REQUIRE选项建立：

换句话说，如果帐户设置不是PASSWORD REQUIRE CURRENT DEFAULT，则帐户设置优先于由password_require_current系统变量确定的全局策略。否则，帐户将遵循password_require_current设置。

默认情况下，密码验证是可选的：password_require_current被禁用，而创建无PASSWORD REQUIRE选项的帐户默认为PASSWORD REQUIRE CURRENT DEFAULT。

以下表格显示了如何将每个帐户设置与password_require_current系统变量的值相结合，以确定帐户密码更改所需的策略。

要全局设置密码验证策略，请使用password_require_current系统变量。其默认值为OFF，因此它不要求帐户密码更改指定当前密码。

示例：

全局密码验证所需策略适用于所有没有被设置为覆盖它的帐户。要为单个帐户建立策略，请使用CREATE USER和ALTER USER语句的PASSWORD REQUIRE选项。请参阅第15.7.1.3节，“CREATE USER Statement”和第15.7.1.1节，“ALTER USER Statement”。

示例帐户特定语句：

验证当前密码在用户使用ALTER USER或SET PASSWORD语句更改密码时会发生。这里的例子使用了ALTER USER，它比SET PASSWORD更受推荐，但这里描述的原则适用于两种语句。

在密码更改语句中，REPLACE子句指定要替换的当前密码。示例：

REPLACE子句的工作方式是：

用户账户允许有两个密码，称为主密码和次要密码。双重密码能力使得在以下场景中进行凭据更改成为可能：

考虑在前述类型的场景中，当一个账户仅允许单一密码时，如何进行凭据更改。在这种情况下，必须有紧密的协作来确定何时对所有服务器和应用程序更新新密码，以及何时更新所有使用该账户的应用程序以使用新的密码。这可能涉及到在服务器或应用程序不可用的时间段内进行停机。

使用双重密码，凭据更改可以更加容易地分阶段进行，无需紧密协作，也无需停机：

MySQL 使用双重密码能力的语法保存和丢弃次要密码：

假设对于前述描述的凭据更改场景，一个名为'appuser1'@'host1.example.com'的账户被应用程序用于连接到服务器，并且该账户的密码要从'password_a'更改为'password_b'。

为了执行此更改，使用ALTER USER语句如下：

RETAIN CURRENT PASSWORD 和 DISCARD OLD PASSWORD 子句的效果如下：

修改次要密码的语句需要这些特权：

CREATE USER、ALTER USER 和 SET PASSWORD 语句都有能力为用户账户生成随机密码，作为替代于要求明确管理员指定的字面密码。每个语句的描述中都有详细说明该语句的语法。此部分描述了所有生成的随机密码共有的特性。

默认情况下，生成的随机密码长度为20个字符。这一长度由

对于每个账户，生成随机密码的语句都会将密码存储在 mysql.user 系统表中，适当地对其进行加密，以便与账户认证插件配合使用。该语句还会返回一个结果集的行，使得密码可供执行该语句的用户或应用程序访问。结果集的列名分别为 user、host、生成的密码 和 auth_factor，它们分别表示在 mysql.user 系统表中识别受影响行的用户名和主机名值，以及清文生成的密码以及该密码显示值适用的认证因素。

mysql> CREATE USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD,
       'u3'@'%.org' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | iOeqf>Mh9:;XD&qn(Hl} |           1 |
| u2   | %.example.com | sXTSAEvw3St-R+_-C3Vb |           1 |
| u3   | %.org         | nEVe%Ctw/U/*Md)Exc7& |           1 |
+------+---------------+----------------------+-------------+
mysql> ALTER USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | Seiei:&cw}8]@3OA64vh |           1 |
| u2   | %.example.com | j@&diTX80l8}(NiHXSae |           1 |
+------+---------------+----------------------+-------------+
mysql> SET PASSWORD FOR 'u3'@'%.org' TO RANDOM;
+------+-------+----------------------+-------------+
| user | host  | generated password   | auth_factor |
+------+-------+----------------------+-------------+
| u3   | %.org | n&cz2xF;P3!U)+]Vw52H |           1 |
+------+-------+----------------------+-------------+

CREATE USER、ALTER USER 或 SET PASSWORD 语句，如果为账户生成了随机密码，将以 CREATE USER 或 ALTER USER 语句的形式写入二进制日志，其中包含一个 IDENTIFIED WITH auth_plugin AS 'auth_string' 子句，其中 auth_plugin 是账户的认证插件，'auth_string' 是账户的加密密码值。

如果安装了 validate_password 组件，那么它实现的策略对生成的密码没有影响。（密码验证的目的是帮助人类创建更好的密码。）

管理员可以配置用户账户，以便在连续的登录尝试失败达到一定次数后，暂时锁定账户。

“登录失败” 在这里指的是客户端未能提供正确密码而导致的连接尝试失败，不包括因未知用户或网络问题等原因导致的连接失败。对于具有双重密码（见双重密码支持）的账户，任何一个密码都算作正确的。

可配置的登录失败次数和锁定时间是通过 CREATE USER 和 ALTER USER 语句中的 FAILED_LOGIN_ATTEMPTS 和 PASSWORD_LOCK_TIME 选项来设置的。示例：

CREATE USER 'u1'@'localhost' IDENTIFIED BY 'password'
  FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 3;

ALTER USER 'u2'@'localhost'
  FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME UNBOUNDED;

当连续的登录尝试失败达到一定次数时，客户端会收到类似这样的错误信息：

ERROR 3957 (HY000): Access denied for user user.
Account is blocked for D day(s) (R day(s) remaining)
due to N consecutive failed logins.

使用以下选项：

每个选项的 N 允许值范围从0到32767。值为0则禁用该选项。

失败登录跟踪和临时账户锁定的特点如下：

服务器读取授权表格时，它会为每个账户初始化状态信息，包括是否启用了失败登录跟踪、当前是否临时锁定以及如果是，则锁定的开始时间，以及在未锁定时达到临时锁定所需的失败次数。

账户的状态信息可以被重置，这意味着失败登录计数将重置，并且如果当前已临时锁定，账户将解锁。账户重置可以是全局性的或针对单个账户：

失败登录跟踪与用于验证凭据的登录账户相关联。如果在使用用户代理的情况下进行登录，跟踪将针对代理用户而不是被代理用户进行。这意味着跟踪与 USER() 指示的账户相关联，而不是 CURRENT_USER() 指示的账户。有关代理用户和被代理用户区别的信息，请参阅第 8.2.19 节，“Proxy Users”。