default_password_lifetime 是 mysql 5.7.4+ 的全局变量，控制新用户默认密码有效期（天），设为90即90天后过期，0表示永不过期，null则交由用户级策略覆盖；它仅影响新用户或未显式配置过期策略的已有用户，不回溯修改老用户的 password_last_changed，且需配合 validate_password 插件才能真正提升安全性。
default_password_lifetime 是什么，改它真能控制密码过期？
default_password_lifetime 是 MySQL 5.7.4+ 引入的全局变量，决定新创建用户的默认密码有效期（单位：天）。设为 90，表示从 password_last_changed 时间起算，90 天后自动过期；设为 0 表示永不过期；设为 NULL 则交由用户级策略覆盖。
注意：它只影响“新用户”或“未显式设置过期策略的已有用户”。已用 ALTER USER ... PASSWORD EXPIRE INTERVAL 单独配置的用户，不受此值影响。
常见误操作：
– 直接 SET GLOBAL default_password_lifetime = 90 后没重启应用，结果连接池里旧连接仍用着不过期的密码，误以为策略失效
– 在 MySQL 5.6 或更早版本执行该语句，报错 Unknown system variable 'default_password_lifetime'，因为根本不支持
如何安全修改 default_password_lifetime 参数
推荐走配置文件方式，避免运行时变更带来的不一致：
- 编辑
/etc/my.cnf或/etc/mysql/mysql.conf.d/mysqld.cnf，在[mysqld]段下添加：default_password_lifetime = 90
- 保存后必须重启 MySQL：
systemctl restart mysqld（CentOS/RHEL）或systemctl restart mysql（Ubuntu/Debian） - 验证是否生效：
SHOW VARIABLES LIKE 'default_password_lifetime';，返回值应为90 - 不要仅靠
SET GLOBAL临时设置——它在服务重启后丢失，且对已存在的用户无回溯效果
为什么改了 default_password_lifetime，老用户密码还是不过期？
因为 default_password_lifetime 不会重写已有用户的 password_last_changed 字段，也不会触发已存在账户的过期计算。MySQL 判断一个用户是否“已过期”，依赖两个条件同时成立：
-
password_expired = 'Y'（显式被设为过期），或 -
password_last_changed IS NOT NULL且TIMESTAMPADD(DAY, @@default_password_lifetime, password_last_changed)
所以，如果某用户是 2025 年创建的，password_last_changed 值很老，而你 2026 年才把 default_password_lifetime 改成 90，那他大概率已经“自动超期”了——但 MySQL 不会主动通知，只会在下次登录时报 ERROR 1820。
实操建议：
– 批量检查潜在过期账号：SELECT user, host, password_last_changed, TIMESTAMPADD(DAY, @@default_password_lifetime, password_last_changed) AS expires_at FROM mysql.user WHERE password_last_changed IS NOT NULL AND @@default_password_lifetime > 0;
– 对确认要清理的老账号，可提前执行 ALTER USER 'olduser'@'%' PASSWORD EXPIRE;，强制其下次登录改密
密码过期后用户连不上，怎么快速恢复？
过期用户首次登录时，MySQL 允许认证通过，但立刻拦截所有 SQL（包括 SELECT），只返回 ERROR 1820 (HY000): You must reset your password using ALTER USER statement before executing this statement.。这不是权限问题，是强制改密流程。
关键点：
– 必须用能执行 ALTER USER 的账号（如 root）先登录，再帮该用户重置：ALTER USER 'expired_user'@'%' IDENTIFIED BY 'new_strong_password';
– 不要用 SET PASSWORD（MySQL 8.0+ 已弃用），也不要用 UPDATE mysql.user 直接改哈希——绕过校验会破坏 validate_password 等插件约束
– ORM 应用（如 Django、Spring Boot）常卡在连接池初始化阶段，日志只显示 “Access denied”，实际需查 MySQL 错误日志或抓包确认是否为 ERROR 1820
最容易被忽略的是：密码过期策略和密码复杂度策略（validate_password）是两套独立机制。即使你开了 default_password_lifetime，若没启用 validate_password 插件，用户仍可能设出 123456 这种密码——过期了也白过。
