mysql 8.0.12+唯一有效方式是alter user password expire interval，5.7及以下不支持该语法；set password无效，因不更新password_last_changed；default_password_lifetime仅影响新用户，老用户须逐个执行alter user设置。
ALTER USER PASSWORD EXPIRE INTERVAL 是唯一有效方式
MySQL 8.0.12+ 才真正支持「定期过期」，即从密码最后修改时间起算固定天数后自动失效。5.7 或更低版本不识别 PASSWORD EXPIRE INTERVAL 语法，执行会直接报错 ERROR 1064 (42000)。
必须用 ALTER USER 显式设置，SET PASSWORD 完全无效——它只更新哈希值，不刷新 password_last_changed 字段，倒计时不会启动，甚至可能卡在旧时间点导致第二天就触发 ERROR 1820。
-
ALTER USER 'app'@'localhost' PASSWORD EXPIRE INTERVAL 90 DAY;—— 90 天后强制重置 -
ALTER USER 'admin'@'%' PASSWORD EXPIRE NEVER;—— 永不过期（注意不是NULL或空字符串） -
ALTER USER 'backup'@'10.0.1.%' PASSWORD EXPIRE DEFAULT;—— 恢复为全局默认策略
host 必须完全匹配：'app'@'localhost' 和 'app'@'%' 是两个独立账户，漏掉任一 host 都会导致策略遗漏。
default_password_lifetime 只管新用户，老用户一个都不动
设了 default_password_lifetime = 90，只影响后续新建的用户，对已有用户毫无作用——哪怕你刚给 root 改过密码，也得单独跑一遍 ALTER USER。
临时生效：运行 SET PERSIST default_password_lifetime = 90;（需 SUPER 权限，写入 mysqld-auto.cnf，重启不丢）
永久生效：在 /etc/my.cnf 的 [mysqld] 段加 default_password_lifetime = 90，然后重启 mysqld
设为 0 表示永不过期；设为 DEFAULT 实际等同于 0，不是“继承上层”——这点容易误解。
验证是否生效：SELECT @@default_password_lifetime; 返回 90 才算成功。
密码过期后用户能做什么？别被连接成功骗了
过期用户仍可建立连接，但首次执行非 SET 类语句（比如 SELECT 1、SHOW TABLES）时才会被拦截，返回 ERROR 1820 (HY000)。
SET NAMES utf8mb4、SET autocommit = 1 这类命令仍能通过，容易误判“策略没生效”。最简验证方式：用该账号登录后立刻执行 SELECT 1;，出错才算真落地。
此时唯一合法操作是：ALTER USER USER() IDENTIFIED BY 'newpass';。其他任何 DML/DDL、甚至 SELECT * FROM table 全部拒绝。
应用连接池卡住常见原因：复用连接时未捕获 ERROR 1820，建议连接建立后立即执行 SELECT 1; 触发校验，并做重连 + 密码重置逻辑。
批量设置老用户？别手敲，用 SELECT 生成语句
已有用户量大时，手动逐个执行 ALTER USER 不现实。安全做法是查表生成语句：
SELECT CONCAT('ALTER USER ''', user, '''@''', host, ''' PASSWORD EXPIRE INTERVAL 90 DAY;')
FROM mysql.user
WHERE password_expired = 'N'
AND password_last_changed IS NOT NULL;
必须加 password_last_changed IS NOT NULL 条件，否则可能误操作空密码或匿名用户。
生成结果复制执行即可。注意：执行前确认当前用户有 ALTER USER 权限，且不能是被设为 PASSWORD EXPIRE NEVER 的高权限账号自行绕过。
真正麻烦的不是设过期，而是确保所有关键账户都被覆盖，且 password_last_changed 时间戳准确——如果某用户上次改密是用 SET PASSWORD，得先补一句 ALTER USER 'u'@'h' IDENTIFIED BY 'xxx' 强刷时间戳。
