mysql 5.7+ 用 alter user 'user'@'host' password expire 强制密码立即过期，支持 interval n day 或 never；set password 不重置过期计时，应改用 alter user ... identified by；全局策略通过 default_password_lifetime 设置。
MySQL 5.7+ 怎么让某个用户密码强制过期
直接用 ALTER USER 命令设置过期时间，这是最干净、最可控的方式。旧版本（如 5.6）不支持该语法，强行升级或改用其他机制前得先确认版本。
-
ALTER USER 'john'@'localhost' PASSWORD EXPIRE;—— 立即过期，下次登录必须改密 -
ALTER USER 'john'@'localhost' PASSWORD EXPIRE INTERVAL 90 DAY;—— 90 天后自动过期 -
ALTER USER 'john'@'localhost' PASSWORD EXPIRE NEVER;—— 取消过期策略（注意：不是设为“永不过期”，而是清除已设置的过期规则）
执行后不会报错，但用户下次连接时会收到错误：ERROR 1820 (HY000): You must reset your password using ALTER USER statement before executing this statement。这个提示不可跳过，除非管理员临时取消过期。
为什么 SET PASSWORD 不再触发密码过期检查
因为 MySQL 5.7 起默认启用了 password_expired 列控制逻辑，而 SET PASSWORD 是旧式命令，它只更新 authentication_string，不重置 password_last_changed 或影响 password_lifetime 计算。结果就是：密码改了，但过期倒计时没重置，用户可能第二天就又进不去。
- 正确做法是用
ALTER USER ... IDENTIFIED BY 'newpass'，它会同时更新密码和最后修改时间 - 如果脚本里还混着
SET PASSWORD FOR 'u'@'h' = PASSWORD('x')，请立刻替换，PASSWORD()函数在 8.0 已被移除 - 注意：8.0 中
old_passwords系统变量已废弃，哈希方式统一为caching_sha2_password，老客户端连不上时得配default_authentication_plugin=mysql_native_password
全局密码过期策略怎么配（server 级）
通过 default_password_lifetime 系统变量控制所有新用户的默认过期周期。它不影响已有用户，只对后续 CREATE USER 生效。
- 设为 0：新用户默认永不过期（注意：不是“关闭策略”，而是显式设为 0）
- 设为 60：所有新用户创建后 60 天必须改密
- 动态生效：
SET PERSIST default_password_lifetime = 90;（8.0.11+），重启不丢失；SET GLOBAL仅当前会话有效 - 查看当前值：
SELECT @@default_password_lifetime;
别指望靠这个一劳永逸——DBA 创建账号时若显式写了 PASSWORD EXPIRE NEVER，这条全局设置就被绕过了。
应用连接池连不上？可能是密码过期没处理好
Java 的 HikariCP、Python 的 PyMySQL 这类客户端，在密码过期后首次连接会卡在认证阶段，报错类似：Access denied for user 'appuser'@'%' (using password: YES)，但真实原因是过期而非密码错。日志里看不到明确提示，容易误判为权限或网络问题。
- 验证方法：用 mysql 命令行以同一账号登录，看是否弹出改密提示
- 临时解法（仅调试）：
ALTER USER 'appuser'@'%' PASSWORD EXPIRE NEVER; - 长期方案：在部署流程中加入定期轮换脚本，并确保应用配置支持运行时刷新凭证（如 HikariCP 的
dataSourceProperties+ 自定义ConnectionInitSql不适用，得靠外部 reload） - 特别注意：MySQL Router、ProxySQL 等中间件缓存了用户元数据，改了过期策略后可能需要 reload 或重启才能生效
真正麻烦的不是设过期，而是让业务方接受「连接失败是设计使然」——他们往往希望静默续期，但 MySQL 不提供自动续期接口，所有改密操作必须由 DBA 或带足够权限的服务触发。
