如何利用MySQL 8.0的密码历史记录功能禁止重复使用旧密码？-mysql教程-PHP中文网

mysql 8.0密码历史策略需同时设置password_history和password_reuse_interval才生效，二者为“或”关系：任一条件满足即拒绝旧密码；必须用set persist（非set global）配置，且依赖caching_sha2_password插件与validate_password组件。

如何利用mysql 8.0的密码历史记录功能禁止重复使用旧密码？

MySQL 8.0 密码历史策略靠 `password_history` 和 `password_reuse_interval` 控制

MySQL 8.0 原生支持密码重用限制，但默认关闭。必须显式配置两个系统变量才能生效：password_history（保留多少次旧密码）和 password_reuse_interval（多少天内禁止重用）。两者是“或”关系：满足任一条件即拒绝旧密码。比如设为 password_history = 5 且 password_reuse_interval = 180，用户改密时若新密码出现在最近 5 次密码中，或出现在近 180 天内用过的密码里，都会被拒绝。

这两个变量只能在全局级别设置，且需 SUPER 权限：

SET PERSIST password_history = 5;
SET PERSIST password_reuse_interval = 180;

注意：SET PERSIST 会写入 mysqld-auto.cnf，重启后仍生效；用 SET GLOBAL 则仅当前实例有效。

用户级密码历史策略优先于全局设置

全局变量只是兜底。更常用的是在创建或修改用户时指定策略，粒度更细，也更灵活：

CREATE USER 'alice'@'%' IDENTIFIED BY 'p1' PASSWORD HISTORY 3; —— 该用户仅保留最近 3 次密码记录
ALTER USER 'bob'@'localhost' PASSWORD HISTORY DEFAULT; —— 恢复使用全局 password_history 值
ALTER USER 'carol'@'%' PASSWORD REUSE INTERVAL 90 DAY; —— 强制 90 天内不可重用旧密码

用户级设置会覆盖全局值，且对已存在的旧密码立即生效——也就是说，执行 ALTER USER ... PASSWORD HISTORY 2 后，该用户下次改密时，系统会立刻查最近 2 次密码哈希（存在 mysql.password_history 表中），而非从设置时刻开始累计。

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

密码历史依赖 `mysql.password_history` 表，不能删、不能手动改

MySQL 自动维护 mysql.password_history 表，每条记录包含 Host、User、Password（哈希）、Timestamp。这个表由服务端内部管理，不接受 INSERT/UPDATE/DELETE 操作，尝试会报错：ERROR 3716 (HY000): The 'mysql.password_history' table is read-only.

常见误操作包括：

试图用 TRUNCATE TABLE mysql.password_history 清空历史 —— 不允许，且会导致后续改密失败
给普通用户授予 SELECT 权限去“检查”历史 —— 虽然语法允许，但实际查不到数据（权限模型限制）
升级前未确认该表结构兼容性 —— MySQL 8.0.19+ 才引入此表，低版本升级到 8.0.19 或更高时需运行 mysql_upgrade 初始化

常见错误：改密报 `ERROR 3031 (HY000)` 却没意识到是密码历史触发的

当用户执行 ALTER USER ... IDENTIFIED BY 'xxx' 失败并提示 ERROR 3031 (HY000): Cannot use the given password for 'user'@'host': it matches one of the last N passwords used.，说明密码历史机制已起作用。此时不是配置没生效，而是新密码确实撞上了规则。

排查建议：

先确认用户是否设置了独立策略：SELECT User, Host, password_history, password_reuse_interval FROM mysql.user WHERE User = 'xxx';（注意字段名带下划线）
查该用户的密码历史记录（仅 root 可查）：SELECT * FROM mysql.password_history WHERE User = 'xxx' ORDER BY Timestamp DESC LIMIT 10;
避免用简单变体试探，如 pass123 → Pass123 → PASS123，MySQL 默认按字节比较哈希值，大小写敏感，但用户往往误以为“算不同密码”

真正难处理的是跨实例同步场景：如果主从都启用了密码历史，但从库不会同步 mysql.password_history 表变更，导致从库上用户改密可能成功而主库失败——这类不一致必须靠应用层规避，MySQL 本身不保证该表的复制一致性。