mysql 8.0社区版原生不支持内置双因子验证（2fa），必须通过pam链式认证实现：先调pam_sss.so对接ldap，再调pam_google_authenticator.so校验totp，且create user需指定identified with auth_pam as 'mysqld'，禁用identified by。
MySQL 8.0 原生不支持双重身份验证（2FA），所谓“MySQL 双重验证”实际是把第二因子校验委托给外部系统完成，MySQL 本身只做协议转发和权限映射。你不能在 CREATE USER 里加个参数就启用 TOTP 或短信验证码。
authentication_ldap_sasl 插件只在 MySQL Enterprise 版本中可用
社区版 MySQL 8.0+ 没有 authentication_ldap_sasl 或 authentication_ldap_simple 插件——这些是商业版专属功能。如果你用的是官方社区二进制包（如 mysql-server-8.0 包），SHOW PLUGINS; 里根本找不到它们。强行执行 INSTALL PLUGIN authentication_ldap_sasl SONAME 'authentication_ldap_sasl.so'; 会报错 Plugin 'authentication_ldap_sasl' is not loaded 或直接提示文件不存在。
可行路径只有两个：
- 换用 MySQL Enterprise Edition 并确认 license 有效（需付费）
- 继续用社区版，改走 PAM 链路，让系统级 PAM 模块承担 LDAP + 第二因子逻辑
PAM 是社区版唯一能落地 2FA 的路径
MySQL 社区版通过 auth_pam 插件把认证请求交给操作系统 PAM 框架，而 PAM 支持链式调用多个模块。这意味着你可以配置它先调 pam_sss.so（连 LDAP），再调 pam_google_authenticator.so（校验 TOTP），只要任意一环失败，整个认证就终止。
关键实操点：
-
/etc/pam.d/mysqld必须存在且权限为644，属主root:root；内容顺序不能错，例如：auth [success=ok default=ignore] pam_sss.so<br>auth [success=done default=bad] pam_google_authenticator.so secret=/var/lib/google-authenticator/${USER} - MySQL 用户名必须与 LDAP 中的
uid完全一致（大小写、特殊字符都不能差），否则 PAM 根本收不到正确用户名去查 Google Authenticator 密钥文件 - 确保
mysql进程用户（通常是mysql用户）能读取/var/lib/google-authenticator/下对应用户的密钥文件（需加组权限或 ACL） - SELinux 启用时，
setsebool -P authlogin_nsswitch_use_ldap on和setsebool -P allow_user_mysql_connect on都可能需要
CREATE USER 语句里不能写密码，也不能漏掉 AS 子句
一旦启用 PAM 认证，MySQL 就不再处理 IDENTIFIED BY 字段。如果误写成：CREATE USER 'alice'@'%' IDENTIFIED BY 'xxx' IDENTIFIED WITH auth_pam AS 'mysqld';，MySQL 会优先尝试本地密码验证，跳过 PAM，导致 LDAP+TOTP 完全失效。
正确写法只有一条：CREATE USER 'alice'@'%' IDENTIFIED WITH auth_pam AS 'mysqld';
注意：
-
'mysqld'是 PAM service name，必须与/etc/pam.d/mysqld文件名完全一致（不含路径、不含扩展名） - 该语句只是在 MySQL 内部注册一个“空壳用户”，不存密码、不校验密码，所有验证动作都在 PAM 层完成
- host 部分（如
'%'或'10.20.%.%'）仍受 MySQL 权限系统约束，即使 PAM 认证成功，alice@'10.20.%'也连不上alice@'192.168.%'
调试必须看 /var/log/secure，而不是 MySQL 错误日志
MySQL 日志里只会显示笼统的 Access denied for user 'alice'@'192.168.1.100' (using password: YES)，根本看不出是 LDAP 连不上、证书校验失败，还是 TOTP 输入错误。真正的问题线索全在系统日志里。
实时跟踪命令：tail -f /var/log/secure | grep mysqld
常见线索示例：
-
pam_sss(mysqld:auth): authentication failure; logname= uid=0 euid=0 tty= ruser= rhost= user=alice→ SSSD 服务未运行或配置错误 -
pam_google_authenticator(mysqld:auth): Failed to read file /var/lib/google-authenticator/alice→ 文件权限不对或路径拼错 -
pam_ldap(mysqld:auth): ldap_simple_bind_s failed with protocol error→ LDAPS 端口不通或 StartTLS 未启用
最易被忽略的是：PAM 模块默认以 mysql 用户身份运行，但它没有家目录、没有 shell，很多 OTP 模块依赖 $HOME 查找密钥文件——必须显式在 PAM 配置里用 secret=/path/to/${USER} 指定绝对路径，不能依赖环境变量。
