必须用ALTER USER...IDENTIFIED BY...RETAIN CURRENT PASSWORD启用双密码，SET PASSWORD会清空辅助密码致旧连接断；需满足非空密码、caching_sha2_password插件、主库执行且从库同步完成；DISCARD OLD PASSWORD须显式执行否则旧密码永久有效。
必须用 ALTER USER ... IDENTIFIED BY ... RETAIN CURRENT PASSWORD 启动双密码，否则旧连接立刻断开；DISCARD OLD PASSWORD 不会自动触发，漏掉这步等于永久保留旧密码。
为什么不能用 SET PASSWORD 切换密码
SET PASSWORD 完全不参与双密码机制。它只写主密码，且无条件清空 mysql.user.authentication_string 之外的辅助凭证字段——哪怕你前一秒刚用 RETAIN CURRENT PASSWORD 设好双密码，下一条 SET PASSWORD 就会让旧密码登录直接报 ERROR 1045 (28000)。
常见错误现象包括：
- 脚本里混写
SET PASSWORD和RETAIN CURRENT PASSWORD→ 直接语法报错ERROR 1064 (42000) - 误以为“改了两次密码就是双密码” → 实际只是反复覆盖主密码，辅助密码从未被创建
- 在从库上执行
SET PASSWORD→ 主从认证状态不一致，部分应用随机报 Access denied
ALTER USER ... RETAIN CURRENT PASSWORD 的三个硬性前提
这条语句失败率高，不是语法问题，而是账户状态不满足。漏检任意一项都会报错，最常见的是 ERROR 3031 或 ERROR 3894：
kashen-mysql DDLtoExcel
下载
解析 MySQL 8.0 的 DDL 脚本，并将表结构导出为 Excel 格式。适用于用户需将 MySQL 的 `CREATE TABLE` 语句转换为结构化的 Excel 文件场景，导出内容包含字段名、数据类型、长度及精度等信息。支持多张表的批量处理，每张表对应 Excel 中的一个独立工作表。适用于数据库文档编写、数据字典生成及模式分析等任务。
-
authentication_string字段不能为NULL或空字符串：先确认SELECT authentication_string FROM mysql.user WHERE user = 'u' AND host = 'h'返回值有效 - 必须在主库执行，且需等所有从库
Seconds_Behind_Master = 0后再推进应用切换，否则新旧密码在不同节点生效时间错位 - 认证插件必须是
caching_sha2_password：执行前查SELECT plugin FROM mysql.user WHERE user = 'u' AND host = 'h'，不匹配就先用ALTER USER 'u'@'h' IDENTIFIED WITH caching_sha2_password BY 'xxx'显式切换
DISCARD OLD PASSWORD 不是清理动作，而是安全操作
它不接受参数、不支持批量、不自动过期——每个账户都得单独执行一次。只要没运行它，最早那次被 RETAIN CURRENT PASSWORD 保留下来的密码就一直有效，哪怕你已经改了七次密码。
典型风险场景：
- 安全审计发现半年前的密码仍能登录 → 大概率只是忘了执行
DISCARD OLD PASSWORD - 误执行一次不带
RETAIN CURRENT PASSWORD的ALTER USER ... IDENTIFIED BY 'x'→ 主密码变成x，但辅助密码仍是最初那个，等于凭空多留一个长期有效口令 - 执行后检查
mysql.user.authentication_string字段是否已更新（旧哈希被替换），这是唯一可靠的验证方式
双密码真正的复杂点不在语法，而在状态协同：主库执行、从库同步、应用迁移、人工清理，四个环节缺一不可。最容易被忽略的是最后一步——没人会盯着日志等它自动消失，它永远在那里，直到你亲手丢弃。
