MySQL 5.7新特性 —— 密码强度管理、过期策略、用户锁定与解锁

Hehuyi_In

已于 2023-01-15 21:47:06 修改

阅读量4k

点赞数 1

分类专栏：新特性 MySQL 安全文章标签： mysql 数据库 java

于 2020-03-28 20:06:00 首次发布

本文链接：https://blog.csdn.net/Hehuyi_In/article/details/105167125

版权

MySQL 同时被 3 个专栏收录

57 篇文章 4 订阅

订阅专栏

新特性

22 篇文章 0 订阅

订阅专栏

安全

20 篇文章 1 订阅

订阅专栏

一、密码强度管理

在5.7版本中，如果用户密码过于简单，可能会收到以下报错：

GRANT REPLICATION CLIENT ON *.*TO 'username'@'%' IDENTIFIED BY ‘xxxxxxxx’;
ERROR 1819 (HY000): Your password does notsatisfy the current policy requirements

这个报错与validate_password_policy参数的值有关。默认是1 ：符合长度，且必须含有数字、大小写字母，特殊字符。

取值	含义
0 or LOW	Length
1 or MEDIUM	Length; numeric, lowercase/uppercase, and special characters
2 or STRONG	Length; numeric, lowercase/uppercase, and special characters; dictionary file

如果不想密码很复杂，可以修改：

set global validate_password_policy=0;
GRANT REPLICATION CLIENT ON *.* TO 'zabbix'@'%' IDENTIFIED BY 'xxxxxxxx';
Query OK, 0 rows affected, 1 warning (0.02sec)

更改密码最小长度为4

set global validate_password_length=4;
Query OK, 0 rows affected (0.00 sec)

查看其他相关参数

SHOW VARIABLES LIKE 'validate_password%';

二、密码过期策略

1. 5.6.6版本起

添加了password_expired功能，允许设置用户密码过期。

ALTER USER 'testuser'@'localhost' PASSWORD EXPIRE;

这个特性已经添加到mysql.user数据表，它的默认值是”N”，可以使用ALTER USER语句来修改。

一旦某个用户的这个选项设置为”Y”，那么这个用户还是可以登陆到MySQL服务器，但是在用户未设置新密码之前不能运行任何查询语句，否则会得到如下报错：

SHOW DATABASES;
ERROR 1820 (HY000): You must SET PASSWORD before executing this statement

解除过期状态：用户或管理员重设密码

alter user mdba@localhost identified by 'Aisino123!';
flush privileges;

2. 5.7.4版本起

可以通过全局变量default_password_lifetime来设置全局的密码过期的策略

在5.7.4 ~ 5.7.10版本中，default_password_lifetime默认值是360
在5.7.11以后，mysqldefault_password_lifetime默认值是0

my.cnf配置如下：

[mysqld]
default_password_lifetime=90

在MySQL运行时可以使用超级权限修改此配置：

SET GLOBAL default_password_lifetime = 90;

还可以使用ALTER USER命令为每个用户单独设置特定的值，它会自动覆盖密码过期的全局策略（注意ALTER USER语句INTERVAL的单位是天）

-- 设置'testuser'@'localhost'用户密码30天过期
ALTER USER 'testuser'@'localhost' PASSWORD EXPIRE INTERVAL 30 DAY;
-- 设置'testuser'@'localhost'用户密码不过期
ALTER USER 'testuser'@'localhost' PASSWORD EXPIRE NEVER;
-- 设置'testuser'@'localhost'用户使用全局密码过期策略
ALTER USER 'testuser'@'localhost' PASSWORD EXPIRE DEFAULT;

三、用户锁定与解锁

5.7.8版开始，添加了锁定/解锁用户的新特性

ALTER USER 'furrywall'@'localhost' ACCOUNT LOCK;
ALTER USER 'furrywall'@'localhost' ACCOUNT UNLOCK;
-- 验证
select user,host,account_locked from mysql.user;

参考：

https://blog.csdn.net/sinat_29461437/article/details/78113250
https://www.cnblogs.com/JiangLe/p/7655165.html