新特性解读 | MySQL 8.0 多因素身份认证

MySQL 8.0.27 增加了多因素身份认证(MFA)功能，可以为一个用户指定多重的身份校验。为此还引入了新的系统变量 authentication_policy ，用于管理多因素身份认证功能。

我们知道在 MySQL 8.0.27 之前，create user 的时候可以指定一种认证插件，在未明确指定的情况下会取系统变量 default_authentication_plugin的值。default_authentication_plugin 的有效值有3个，分别是 mysql_native_password ，sha256_password ，caching_sha2_password ，这个3个认证插件是内置的、不需要注册步骤的插件。

在 MySQL 8.0.27 中由 authentication_policy 来管理用户的身份认证，先启个 mysql

同时查看下 authentication_policy 和 default_authentication_plugin 的值

我们看到 authentication_policy 的默认值是*,,

第1个元素值是星号（ ），表示可以是任意插件，默认值取 default_authentication_plugin 的值。如果该元素值不是星号（ ），则必须设置为 mysql_native_password ，sha256_password ，caching_sha2_password 中的一个。

第2，3个元素值为空，这两个位置不能设置成内部存储的插件。如果元素值为空，代表插件是可选的。

建个用户看一下，不指定插件名称时，自动使用默认插件 caching_sha2_password

指定插件名称时，会使用到对应的插件

尝试变更一下 authentication_policy 第一个元素的值，设置为 sha256_password

再次创建一个用户，不指定插件的名称

可以看到默认使用的插件是 sha256_password ，说明当 authentication_policy 第一个元素指定插件名称时，default_authentication_plugin 被弃用了。

首先我们恢复 authentication_policy 至默认值

创建一个双重认证的用户。如下创建失败了，因为不可以同时用2种内部存储插件。

那我们来装一个可插拔插件 Socket Peer-Credential

再创建一个双重认证的用户

创建成功，之后用户'wei4'@'localhost'必须提供正确的密码，且同时本地主机的登录用户为 root 时，才会验证通过。

来试一下，以主机 root 用户身份，提供正确的密码 123 ，登录成功。

修改一下，将'wei4'@'localhost'要求的主机登录用户修改为wei4

再次以主机 root 用户身份，提供正确的密码 123 ，登录失败

因此可以认定双重身份认证机制是生效的。MySQL 8.0.27 最多可以对一个用户设置三重的身份认证，这里不再做展示说明。

简单总结下，已有的密码口令身份验证很适合网站或者应用程序的访问，但是在特定的情况下 如网络在线金融交易方面可能还是不够安全。多因素身份认证(MFA)功能的引入，可以在一定程度上提升数据库系统的安全性。

https://dev.mysql.com/doc/refman/8.0/en/server-system-variables.html#sysvar_authentication_policy

某天有人问了我一个有关 MySQL PROXY 用户该如何使用的问题。

原问题是这样的：MySQL 版本从 5.5 升级到 8.0 后，proxy 用户怎么无法使用了？我之前是按照你博客上写的方法使用的，但是在升级后，安装插件提示如下错误：

这个咋回事？

我给了一个大家都很讨厌的答案： 去看 MySQL8.0 官方手册吧。

auth_test_plugin.so 是 MySQL 5.5 的插件，仅限于测试环境，不推荐线上使用，仅限功能演示。之后的一系列大版本安装包里都不包含这个插件，所以使用方法有些差异。

我在下面示例中使用插件 mysql_native_password ，这个插件自带 proxy 用户功能，所以需要在配置文件里开启对应的开关，并重启 MySQL 实例：（如果使用 sha256_password ， 应该把参数 sha256_password_proxy_users=ON 也加到配置文件里。）

使用 proxy 用户功能之前，需要安装 mysql_no_login 插件，阻止隐藏在 proxy 用户下的真实用户登录 MySQL 。

创建一个 proxy 用户 ytt_fake ，使用认证插件 mysql_native_password ：

使用 Proxy 用户登录 MySQL ：

确认下变量 proxy_user 的值是不是 ytt_fake ：

使用 proxy 用户登录后，查看当前登录用户信息：用户实际上是 ytt_real 。

确认下权限：具有真实用户的所有权限。

用 proxy 用户创建表、插入记录、查询、销毁表：

由于真实用户 ytt_real 使用认证插件 mysql_no_login ，MySQL 不允许此用户登录：

---