等保认证必备！MySQL密码复杂度、过期策略，插件实操一看就会

MySQL密码突然失效？别慌，这是密码策略在保护你的数据库安全。其背后是网络安全等级保护（等保）的合规性驱动。本文将深入解析MySQL的validate_password插件（组件），助你精准配置。

许多DBA和开发者都经历过这个场景：尝试登录MySQL时，系统突然抛出错误，将你挡在门外：

ERROR 1820 (HY000): You must reset your password using ALTER USER statement before executing this statement

密码正确却无法登录，根源在于MySQL的密码过期策略被触发。这不仅是数据库的内置功能，更是为了满足网络安全等级保护（等保）的强制合规要求。无论是等保二级还是三级，都明确规定了数据库密码必须具备足够的复杂度、定期过期且禁止重用，以有效防御暴力破解和密码泄露风险。接下来，我们将全面拆解MySQL的validate_password插件（组件）。

一、 validate_password插件实战指南

1. validate_password的核心价值

validate_password的核心功能是强制实施密码复杂度策略，从根本上杜绝“123456”、“admin”这类弱密码。需要注意的是，其在MySQL 5.7和MySQL 8.0中的实现与启用方式存在关键差异，下文将详细演示。

2. MySQL 5.7：插件安装与启用

在MySQL 5.7中启用插件时，常因版本混淆导致查询报错。请遵循以下步骤：

-- 1. 安装插件（立即生效，无需重启服务）
INSTALL PLUGIN validate_password SONAME 'validate_password.so';
-- 2. 验证插件状态
SELECT * FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME LIKE 'validate_password%';
-- 3. 永久启用（修改my.cnf，防止重启后失效）
[mysqld]
plugin-load-add=validate_password.so
validate_password=FORCE_PLUS_PERMANENT

成功安装后，效果如下图所示：

启用后，即可查询到相关系统参数。

验证插件是否生效的最直接方法是尝试设置一个弱密码。若收到策略报错，则说明配置成功。例如：

mysql> set password= PASSWORD('123456');
ERROR 1819 (HY000): Your password does not satisfy the current policy requirements
mysql>

3. MySQL 8.0：组件与插件的启用

在MySQL 8.0中，密码强制策略由validate_password组件提供。自8.0.17版本起，官方推荐以组件（Component）形式进行管理，但传统的插件安装方式依然兼容。

（1）兼容模式：沿用插件方式

启用方式与MySQL 5.7完全相同：

mysql> INSTALL PLUGIN validate_password SONAME 'validate_password.so';
Query OK, 0 rows affected, 1 warning (0.00 sec)
mysql> SELECT * FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME LIKE '%password%';
+-----------------------+----------------+---------------+-------------------+---------------------+----------------------+------------------------+--------------------+--------------------------------+----------------+-------------+
| PLUGIN_NAME           | PLUGIN_VERSION | PLUGIN_STATUS | PLUGIN_TYPE       | PLUGIN_TYPE_VERSION | PLUGIN_LIBRARY       | PLUGIN_LIBRARY_VERSION | PLUGIN_AUTHOR      | PLUGIN_DESCRIPTION             | PLUGIN_LICENSE | LOAD_OPTION |
+-----------------------+----------------+---------------+-------------------+---------------------+----------------------+------------------------+--------------------+--------------------------------+----------------+-------------+
| mysql_native_password | 1.1            | ACTIVE        | AUTHENTICATION    | 2.1                 | NULL                 | NULL                   | Oracle Corporation | Native MySQL authentication    | GPL            | FORCE       |
| sha256_password       | 1.1            | ACTIVE        | AUTHENTICATION    | 2.1                 | NULL                 | NULL                   | Oracle Corporation | SHA256 password authentication | GPL            | FORCE       |
| caching_sha2_password | 1.0            | ACTIVE        | AUTHENTICATION    | 2.1                 | NULL                 | NULL                   | Oracle Corporation | Caching sha2 authentication    | GPL            | FORCE       |
| validate_password     | 1.1            | ACTIVE        | VALIDATE PASSWORD | 1.0                 | validate_password.so | 1.11                   | Oracle Corporation | check password strength        | GPL            | ON          |
+-----------------------+----------------+---------------+-------------------+---------------------+----------------------+------------------------+--------------------+--------------------------------+----------------+-------------+
4 rows in set (0.00 sec)
mysql> alter  user  app_user  identified by '123456';
ERROR 1819 (HY000): Your password does not satisfy the current policy requirements
mysql>

查看相关系统变量：

mysql> SHOW GLOBAL  VARIABLES LIKE 'validate_password%';
+--------------------------------------+--------+
| Variable_name                        | Value  |
+--------------------------------------+--------+
| validate_password_check_user_name    | ON     |
| validate_password_dictionary_file    |        |
| validate_password_length             | 8      |
| validate_password_mixed_case_count   | 1      |
| validate_password_number_count       | 1      |
| validate_password_policy             | MEDIUM |
| validate_password_special_char_count | 1      |
+--------------------------------------+--------+
7 rows in set (0.01 sec)

（2）推荐方式：启用组件

对于MySQL 8.0.17及以上版本，建议采用组件安装方式。操作如下：

mysql> SELECT * FROM mysql.component;
Empty set (0.00 sec)
mysql> SELECT plugin_name, plugin_status
     -> FROM information_schema.plugins
     -> WHERE plugin_name = 'validate_password';
Empty set (0.00 sec)
mysql> INSTALL COMPONENT 'file://component_validate_password';
Query OK, 0 rows affected (0.00 sec)
mysql> SELECT * FROM mysql.component;
+--------------+--------------------+------------------------------------+
| component_id | component_group_id | component_urn                      |
+--------------+--------------------+------------------------------------+
|            1 |                  1 | file://component_validate_password |
+--------------+--------------------+------------------------------------+
1 row in set (0.00 sec)

此时，查看系统变量，会发现新增8个与密码验证相关的参数。

4. 永久生效配置（生产环境必做）

修改MySQL配置文件，在[mysqld]部分添加以下配置以实现持久化：

[mysqld]
# 加载组件
plugin-load-add=component_validate_password.so
# 若使用传统插件方式，则使用：
# plugin-load-add = validate_password.so
# 设置默认策略等级 (可选，默认为 MEDIUM)
validate_password.policy=MEDIUM

注意：库文件后缀（.so对应Linux，.dll对应Windows）取决于操作系统。部分发行版中，加载组件可能只需写component_validate_password，无需指定文件后缀。

二、 策略配置详解

1. 密码策略强度调整

插件启用后，可通过系统变量精细调整密码策略。validate_password.policy（或validate_password_policy）主要提供三个强度等级：

修改策略示例：

mysql> SET GLOBAL validate_password.policy=STRONG;
Query OK, 0 rows affected (0.00 sec)
mysql> SET GLOBAL validate_password.policy=LOW;
Query OK, 0 rows affected (0.00 sec)
mysql> SET GLOBAL validate_password.policy=MEDIUM;
Query OK, 0 rows affected (0.00 sec)

其他关键参数配置：

-- 最小密码长度 (默认 8)
SET GLOBAL validate_password.length = 8;
-- 必须包含的数字个数 (默认 1)
SET GLOBAL validate_password.number_count = 1;
-- 必须包含的大小写字母个数 (默认 1)
SET GLOBAL validate_password.mixed_case_count = 1;
-- 必须包含的特殊字符个数 (默认 1)
SET GLOBAL validate_password.special_char_count = 1;
-- 是否检查密码与用户名相同 (默认 ON)
SET GLOBAL validate_password.check_user_name = ON;

提示：若需永久生效，请将上述参数（如validate_password_length=12）写入MySQL配置文件的[mysqld]段落。

2. 密码过期策略配置

密码过期是MySQL的内置功能，与validate_password插件独立。它支持全局统一设置，也支持针对特定用户进行个性化配置。以下是两个典型场景的操作。

场景一：全局配置（适用于所有用户）。

-- 设置所有用户密码90天后过期（符合生产环境安全规范）
SET GLOBAL default_password_lifetime = 90;
-- 设置密码永不过期（仅限测试环境，生产环境禁用）
SET GLOBAL default_password_lifetime = 0;

场景二：单用户个性化配置。

需求：为test用户单独设置60天密码有效期，而其他用户遵循全局90天规则。

-- 为test用户设置60天密码有效期
ALTER USER 'test'@'%' PASSWORD EXPIRE INTERVAL 60 DAY;
-- 手动立即使test用户密码过期（适用于员工离职等场景）
ALTER USER 'test'@'%' PASSWORD EXPIRE;
-- 密码过期后，用户登录并重置密码
ALTER USER  'test'@'%'   IDENTIFIED BY 'Test_2026%NewPwd';

3. 密码过期后的登录报错

当用户密码过期后尝试登录，将收到如下明确错误：

[root@alidb ~]# mysql -utest -p -h 127.0.0.1 -P 3307
Enter password:
ERROR 1862 (HY000): Your password has expired. To log in you must change it using a client that supports expired passwords.

三、 插件/组件卸载

1. 卸载传统插件

若通过插件方式安装，使用以下命令卸载：

-- Linux/Windows通用命令
UNINSTALL PLUGIN validate_password;

2. 卸载组件

对于MySQL 8.0.17+版本，若通过组件方式安装，使用以下命令卸载：

UNINSTALL COMPONENT 'file://component_validate_password';

注意：组件名称通常包含file://前缀。若卸载报错，可尝试去掉前缀或直接使用组件名，但官方标准写法建议保留前缀。

3. 卸载后验证

卸载完成后，再次查询插件或组件列表，对应条目应已消失。

相关的系统参数也会随之移除。

四、 等保合规要求解析

部署validate_password插件的核心驱动力，正是满足网络安全等级保护（等保）对数据库密码的强制性要求。理解这些要求，能使我们的配置工作目标明确。等保主要规定如下：

密码复杂度：密码必须包含大小写字母、数字、特殊字符组合，长度不低于8位（等保三级建议不低于10位）。
密码过期：密码有效期不得超过90天，到期必须强制更换，禁止设置永不过期密码。
密码历史：禁止重用最近5次（或更多）的历史密码，且旧密码在180天内不可重复使用。

validate_password插件正是实现“密码复杂度校验”这一核心合规要求的关键工具。结合MySQL自带的密码过期与历史策略，即可构建完整的等保合规密码管理体系。

五、 总结

熟练掌握本文所述的插件启用、策略配置与合规要点，不仅能快速解决登录报错、弱密码等日常运维问题，更能为数据库顺利通过等保安全审计奠定坚实基础。建议收藏本文，作为MySQL密码安全管理的实操手册。