如何禁止MySQL用户重复使用旧密码-mysql教程-PHP中文网

mysql 8.0+启用密码重用限制需同时设置password_history和password_reuse_interval且非零，二者为“与”关系：新密码必须既不在最近n次历史中，又距上次使用已超m天；须通过alter user显式绑定用户级策略才生效。

如何禁止mysql用户重复使用旧密码

MySQL 8.0.19 起原生支持密码历史策略，但默认关闭。关键不是“禁止重复使用”，而是通过 password_history 和 password_reuse_interval 两个系统变量控制旧密码能否被再次设置。

直接在全局或用户级配置生效，无需第三方插件（如 validate_password 插件仅管复杂度，不管重用）。

password_history = N：表示该用户最近 N 次使用的密码不可再用（含当前密码）。设为 0 表示不限制；设为 5，则第 6 次起才可能复用最早那次的密码
password_reuse_interval = M：单位为天，表示同一密码至少间隔 M 天才能重新使用。设为 0 表示忽略时间维度，只看历史次数
两者是“与”关系：必须同时满足“不在最近 N 次中”且“距上次使用已过 M 天”，新密码才算合法
修改后对后续 ALTER USER ... IDENTIFIED BY 生效，不影响已有密码

不能只靠全局变量，必须显式绑定到用户。常见错误是只改了 my.cnf 却没执行 ALTER USER，结果策略不生效。

正确做法是先确保全局启用了策略支持（MySQL 8.0.19+ 默认已支持），然后对目标用户单独设置：

ALTER USER 'app_user'@'localhost' 
  PASSWORD HISTORY 5 
  PASSWORD REUSE INTERVAL 90 DAY;

注意：PASSWORD HISTORY 和 PASSWORD REUSE INTERVAL 是用户级属性，必须用 ALTER USER 命令设置，不能写进 my.cnf 配置文件。

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

验证是否生效：

SELECT user, host, password_history, password_reuse_interval 
FROM mysql.user 
WHERE user = 'app_user';

如果希望所有新建用户默认继承重用限制，可设置全局变量 default_password_lifetime（影响过期）、但没有全局默认的 password_history。MySQL 不提供“所有用户自动继承”的机制。

因此批量生效需脚本处理：

查出所有需加固的用户：SELECT CONCAT('ALTER USER ''',user,'''@''',host,''' PASSWORD HISTORY 5;') FROM mysql.user WHERE account_locked = 'N';
执行生成的 ALTER USER 语句（建议先备份 mysql.user 表）
避免对系统账户（如 mysql.session、mysql.sys）误操作，它们有特殊用途

特别注意：root 用户同样适用该策略，但若忘记密码又受限于 history，唯一出路是跳过权限表启动（mysqld --skip-grant-tables），这本身就有安全风险——所以生产环境务必记录好密码变更日志。

真正容易被忽略的是：密码历史只记录在 mysql.user 表的 password_reuse_history 字段（内部加密存储），不对外暴露明文，也无法人工清空。一旦设了 PASSWORD HISTORY 5，就只能等第 6 次之后才可能循环，没有“重置历史”的 SQL 命令。