mysql 5.7.6+不支持单条alter user语句为多个用户设置不同密码过期策略，必须统一使用同一策略（如全部password expire never），否则报error 1064；正确方式是拼接多条语句或脚本批量生成执行，并验证mysql.user表中password_expired字段是否更新为'n'。
直接用 ALTER USER 设置多个用户的 password_expired 属性
MySQL 5.7.6+ 支持对多个用户批量执行 ALTER USER，但要注意语法限制：一条语句只能指定一个 PASSWORD EXPIRE 策略，不能混用不同策略。想统一设为“永不过期”，就全部用 PASSWORD EXPIRE NEVER；想强制下次登录修改，就统一用 PASSWORD EXPIRE DEFAULT。
常见错误是试图在一条语句里写多个用户加不同策略，比如：ALTER USER 'u1'@'%' PASSWORD EXPIRE NEVER, 'u2'@'%' PASSWORD EXPIRE DEFAULT; —— 这会报错 ERROR 1064 (42000)，因为 MySQL 不支持混合策略写法。
- 正确做法是拼接多条
ALTER USER语句，用分号分隔，一次性提交（如在命令行或客户端中粘贴执行） - 如果用户量大（比如上百个），建议生成 SQL 脚本：先查出目标用户（
SELECT CONCAT('ALTER USER ''', user, '''@''', host, ''' PASSWORD EXPIRE NEVER;') FROM mysql.user WHERE ...;），再执行结果 - 注意
host部分必须完全匹配，'user'@'localhost'和'user'@'%'是两个独立账户，漏掉任意一个都会导致策略未生效
用脚本自动化生成 ALTER USER 语句（Python / shell 示例）
手动拼写几十个 ALTER USER 容易出错，尤其当用户名含特殊字符或空格时。用脚本读取用户列表并转义，更可靠。
Python 示例（依赖 mysql-connector-python）：
import mysql.connector
conn = mysql.connector.connect(user='root', password='xxx', host='127.0.0.1')
cursor = conn.cursor()
users = [('alice', '%'), ('bob', '192.168.1.%'), ('dev', 'localhost')]
for user, host in users:
stmt = f"ALTER USER '{user}'@'{host}' PASSWORD EXPIRE NEVER;"
cursor.execute(stmt)
conn.commit()
shell + mysql 命令行方式更轻量（适合运维）：
mysql -uroot -p -e "
SELECT CONCAT('ALTER USER ''', user, '''@''', host, ''' PASSWORD EXPIRE NEVER;')
FROM mysql.user
WHERE user IN ('alice','bob','dev') AND host IN ('%','localhost');
" | mysql -uroot -p
- shell 方式需确保子查询输出的 SQL 是合法且可执行的，建议先用
SELECT ... INTO OUTFILE保存并人工检查一遍 - Python 脚本中若用户来自文件或 CSV，记得用
mysql.connector.escape_string()处理单引号，避免 SQL 注入或语法错误 - 执行前务必确认当前连接用户有
CREATE USER或ALTER USER权限，否则会报ERROR 1045 (28000)
验证 password_expired 字段是否已更新
改完别急着退出，立刻查 mysql.user 表确认生效。注意字段名是 password_expired（不是 password_expires 或类似变体），值为 'Y' 或 'N'，类型是 enum('N','Y')。
执行：SELECT user, host, password_expired FROM mysql.user WHERE user IN ('alice','bob','dev');
- 如果看到
password_expired仍是'Y'，说明该用户此前被设为强制过期，且你执行的是PASSWORD EXPIRE DEFAULT（它继承全局 default，而全局默认通常是Y） -
PASSWORD EXPIRE NEVER一定会把字段设为'N'；PASSWORD EXPIRE DEFAULT则取决于default_password_lifetime系统变量值：0 表示永不过期（字段为'N'），非 0 表示按天数计算（字段仍为'Y'） - 别只看
SHOW VARIABLES LIKE 'default_password_lifetime';，这个变量只影响新用户或DEFAULT策略，不影响已显式设为NEVER的用户
批量修改后登录测试与权限同步问题
改完策略不代表用户能立刻正常登录。如果用户密码本身已过期（password_expired = 'Y' 且上次修改距今超过 lifetime），即使你设了 NEVER，MySQL 仍会在登录时要求重置密码 —— 这是设计如此，不是 bug。
- 真正生效的前提是：该用户当前密码未被标记为“需立即修改”。可通过
SET PASSWORD FOR 'u'@'h' = 'xxx';强制刷新一次密码状态 - 如果用户使用代理账号（
PROXY）或角色（ROLE），PASSWORD EXPIRE只作用于被代理用户本身，不传递给代理者，这点容易被忽略 - 复制环境（主从）下，
ALTER USER是 DDL，会自动写入 binlog 并同步，但若从库启用了read_only=ON，可能卡住或报错ERROR 1290 (HY000)，需临时关闭再操作
最常被跳过的步骤是：没清空客户端缓存或没让应用重启连接池。改完服务端策略，老连接仍可能沿用旧认证状态，直到重连或超时释放。
