MySQL 8.0设置密码历史策略配置password_history参数

MySQL 8.0如何设置用户密码历史记录策略

为MySQL用户设置密码历史策略，可以有效防止旧密码被重复使用，提升安全性。这听起来简单，但在实际操作中，许多开发者都曾遇到配置不生效的问题。本文将详细解析MySQL 8.0的密码历史策略（password_history），帮助你彻底掌握其配置方法与注意事项。

首要前提：密码历史策略是MySQL 8.0.19版本引入的功能。若你的版本低于此，则无法使用该功能，系统中也不会存在相关变量。

确认MySQL版本与认证插件

在开始配置前，必须确认两个硬性条件：版本和认证插件。任何一项不满足，后续配置均无效。

• 版本检查：执行 SELECT VERSION();。结果需为 8.0.19 或更高。版本过低时，执行相关命令会报错：Unknown system variable 'password_history'。
• 插件检查：密码历史策略仅支持 caching_sha2_password 认证插件。运行 SELECT user, host, plugin FROM mysql.user WHERE user = 'your_user'; 查看目标用户的插件。若仍为旧的 mysql_native_password，则需先修改用户插件：ALTER USER 'your_user'@'%' IDENTIFIED WITH caching_sha2_password BY '新密码';。

全局设置与用户级设置

配置参数时需注意关键区别：全局设置仅对此后新建的用户生效，对现有用户无效。因此，对现有用户进行精细化管理，更推荐使用用户级设置。

• 全局设置（建议作为兜底）：使用 SET PERSIST password_history = 5;。此命令会将设置持久化至 mysqld-auto.cnf 文件，服务重启后依然有效。但需注意，它仅影响命令执行后创建的新用户。
• 用户级设置（更精准可靠）：对特定用户立即生效，无需重启服务。命令为：ALTER USER 'u1'@'%' PASSWORD HISTORY 5;。
• 注意临时设置方式：SET GLOBAL password_history = 5 仅在当前MySQL服务运行期间有效，重启后失效。另一种方式是在配置文件 my.cnf 的 [mysqld] 段添加 password_history = 5，但这需要重启MySQL服务（sudo systemctl restart mysql）才能生效。

策略失效的常见原因

参数已设置，但修改密码时策略未触发？这通常并非参数未生效，而是修改密码的方式未触发校验机制。

• 仅特定命令触发校验：密码历史记录与校验，仅在执行 ALTER USER ... IDENTIFIED BY 或 SET PASSWORD（修改当前用户自身密码）时才会进行。若直接通过 UPDATE mysql.user 表修改 authentication_string 字段，则会完全绕过此安全机制。
• GRANT命令不触发：使用 GRANT ... IDENTIFIED BY 语法修改密码，同样不会触发历史记录检查。此语法已被官方标记为“不推荐”。
• 注意图形化工具：部分旧版本的数据库管理工具（如某些Navicat、HeidiSQL版本），其底层可能使用 mysqladmin 命令或其他方式，跳过了标准权限变更流程，导致历史记录未被记录。
• 关键关联参数：MySQL要求 password_history 和 password_reuse_interval 这两个参数必须同时设置为非零值，整个策略才会被激活。若 password_reuse_interval 保持默认值0，则即使 password_history 设为5，策略也处于关闭状态。

验证策略是否生效

配置完成后，如何确认策略真正在工作？不应仅查看变量值，而应通过实际行为进行验证。最直接的方法是故意尝试重用一次旧密码。

• 分步测试：
  1. 为用户修改一次密码：ALTER USER 'u1'@'%' IDENTIFIED BY 'pass1';
  2. 接着再修改两次，以生成历史记录：ALTER USER 'u1'@'%' IDENTIFIED BY 'pass2'; 然后 ALTER USER 'u1'@'%' IDENTIFIED BY 'pass3';
  3. 最后，尝试改回最初的密码：ALTER USER 'u1'@'%' IDENTIFIED BY 'pass1';。若策略生效，此时应看到明确报错：ERROR 3638 (HY000): Cannot use these credentials...。
• 查看历史记录：你也可以查询系统表来确认。执行 SELECT * FROM mysql.password_history WHERE User = 'u1'\G，可以查看该用户被记录的历史密码条目及对应时间戳。注意，此表为只读。

最后强调两个细节：第一，密码历史策略仅在同一用户账户内部进行比对，不会检查其他用户的密码。第二，所有历史记录均从你首次启用该策略并执行第一次密码修改后才开始积累，启用之前的旧密码不会被追溯记录。