create user 指定 password expire after n（单位：天）可使账号从创建时刻起n天后自动过期，登录时触发error 1820强制改密；alter user可动态更新该策略，需create user权限，且不影响当前连接。
用 CREATE USER 指定过期时间最直接
MySQL 5.7.11+ 原生支持账号自动过期，不需要定时任务或外部监控。关键不是“限制使用期限”，而是让账号在指定时间后自动变为 ACCOUNT LOCKED 状态——此时即使密码正确也无法登录。
创建时直接加 PASSWORD EXPIRE AFTER N（单位：天）：
CREATE USER 'outsourcing_2024'@'%' IDENTIFIED BY 'p@ssw0rd' PASSWORD EXPIRE AFTER 90;
注意：PASSWORD EXPIRE AFTER 是从账号创建时刻开始倒计时，不是从首次登录算起。如果外包人员下周才开始工作，别急着创建账号——否则还没用就过期了。
-
PASSWORD EXPIRE表示立即过期（需重置密码才能用），不适合临时外包场景 -
PASSWORD EXPIRE DEFAULT会继承全局策略，不可控，慎用 - 过期后用户尝试登录会收到错误：
ERROR 1820 (HY000): You must reset your password using ALTER USER statement before executing this statement.
ALTER USER 可随时更新到期时间
外包周期延长或缩短，不用删号重建，直接改过期策略即可。比如原定90天，客户多续了15天：
ALTER USER 'outsourcing_2024'@'%' PASSWORD EXPIRE AFTER 105;
这个操作立刻生效，且不影响当前已建立的连接（已有连接仍可继续执行，直到断开）。但下次登录就会按新规则校验。
- 执行
ALTER USER需要CREATE USER权限或更高权限，普通 DBA 账号通常有 - 不能对
root或其他系统账号设置PASSWORD EXPIRE，MySQL 会报错：ERROR 3023 (HY000): Cannot set password expiration for user 'root'@'localhost' - 修改后可通过
SELECT user, host, password_expired FROM mysql.user WHERE user = 'outsourcing_2024';查看状态
配合 GRANT 控制最小必要权限
账号过期只是防线之一。外包人员一旦拿到高权限账号（比如 SELECT 所有库），即使过期前也能导出全部数据。必须叠加权限控制：
GRANT SELECT, INSERT ON project_db.* TO 'outsourcing_2024'@'%';
禁止给 GRANT OPTION、DROP、ALTER、CREATE 等非必要权限。尤其注意：SHOW DATABASES 权限会让用户看到所有库名，哪怕没权限访问——建议显式收回：
- 执行
REVOKE SHOW DATABASES ON *.* FROM 'outsourcing_2024'@'%';（MySQL 8.0+ 默认不授予，5.7 需手动处理） - 避免用
GRANT ... ON *.*，哪怕只读也要限定到具体库表 - 如果外包只需查某几张表，直接
GRANT SELECT ON project_db.table_a TO ...，比给库级权限更安全
过期后实际表现与验证方式
账号过期 ≠ 连接立即中断，而是下次认证失败。这点容易误解：有人以为过期后正在跑的查询会报错或被 kill，其实不会。
验证是否真生效，别只靠 mysql -u 登录测试——因为客户端可能缓存了旧连接。正确方法是：
- 新开终端，执行
mysql -uoutsourcing_2024 -p -e "SELECT 1;"，确认返回ERROR 1820 - 检查
mysql.user表中password_expired字段是否为Y - 查看错误日志：
tail -f /var/log/mysql/error.log，过期登录会记录类似[Warning] Access denied for user 'outsourcing_2024'@'x.x.x.x' (using password: YES)，但不会明说“已过期”——得结合前面两步判断
真正麻烦的是：MySQL 不提供“过期前N天邮件提醒”这类功能，管理员得自己记日历或者写个简单脚本定期查 mysql.user 里快过期的账号。
