mysql 8.0.19+才支持password_history，需版本≥8.0.19且认证插件为caching_sha2_password；全局设置set persist password_history=5仅影响新建用户，已有用户须用alter user 'u1'@'%' password history 5；仅alter user identified by或set password（当前用户）触发校验，update mysql.user等操作不记录历史；password_reuse_interval必须非零才能激活策略，验证需实际重用旧密码并观察error 3638。
MySQL 8.0.19+ 才真正支持 password_history，低于这个版本设了也白设，连变量都不存在。
确认 MySQL 版本和认证插件是否达标
不满足这两个前提，后续所有配置都不会触发密码历史校验。
- 执行
SELECT VERSION();，输出必须是8.0.19或更高；低于该版本会报错Unknown system variable 'password_history' - 查用户插件：
SELECT user, host, plugin FROM mysql.user WHERE user = 'your_user';，结果必须是caching_sha2_password（mysql_native_password完全不支持该策略） - 若插件不对，先改插件：
ALTER USER 'your_user'@'%' IDENTIFIED WITH caching_sha2_password BY 'xxx';
全局设置 vs 用户级设置：优先用 ALTER USER
全局变量 password_history 只影响新建用户，对已有用户无效；而用户级设置更精准、更可靠。
- 全局启用（推荐仅作兜底）：
SET PERSIST password_history = 5;（写入mysqld-auto.cnf，重启不丢失） - 对已有用户单独生效：
ALTER USER 'u1'@'%' PASSWORD HISTORY 5;（立即生效，无需重启） - 注意：
SET GLOBAL password_history = 5仅当前会话有效，服务重启后归零 - 配置文件方式（需重启）：
[mysqld]段下加password_history = 5，然后sudo systemctl restart mysql
为什么设了却没拦截？常见失效原因
不是参数没生效，而是密码变更动作没走校验路径。
- 只在
ALTER USER ... IDENTIFIED BY或SET PASSWORD（当前用户上下文）时才写入历史并校验；UPDATE mysql.user手动改authentication_string完全绕过机制 -
GRANT ... IDENTIFIED BY不触发历史记录，已被官方标记为“不推荐” - 某些 GUI 工具（如旧版 Navicat、HeidiSQL）底层用
mysqladmin或跳过权限流程，历史记录丢失 - 未同时设置
password_reuse_interval：MySQL 要求两个参数**同时非零**才激活策略；若password_reuse_interval = 0（默认值），哪怕password_history = 5也等同于关闭
验证策略是否真正在工作
别只看变量值，得看行为。最直接的验证方式就是故意重用一次旧密码。
- 先执行一次改密：
ALTER USER 'u1'@'%' IDENTIFIED BY 'pass1'; - 再改两次：
ALTER USER 'u1'@'%' IDENTIFIED BY 'pass2';→ALTER USER 'u1'@'%' IDENTIFIED BY 'pass3'; - 最后尝试切回：
ALTER USER 'u1'@'%' IDENTIFIED BY 'pass1';→ 应报错ERROR 3638 (HY000): Cannot use these credentials... - 检查历史表（只读）：
SELECT * FROM mysql.password_history WHERE User = 'u1'\G，确认有对应条目和时间戳
最容易被忽略的一点：策略只对「该用户自身」的历史密码做比对，不会跨账户检查；且所有记录从第一次启用策略后的首次改密开始积累，之前的历史密码不追溯。
