mysql 8.0 必须用 install component 安装 validate_password，而非 install plugin；组件启用后需用点号格式（如 validate_password.length）配置参数，且仅 strong 策略才激活 password_history 和 reuse_interval。
MySQL 8.0 必须用 INSTALL COMPONENT，不是 INSTALL PLUGIN
直接执行 INSTALL PLUGIN validate_password SONAME 'validate_password.so' 在多数 8.0.17+ 官方版本中会失败，报错 ERROR 1126 (HY000): Can't open shared library——因为插件文件已被移除，取而代之的是组件（component）机制。
正确做法是先确认是否已安装：
SELECT * FROM mysql.component WHERE component_urn = 'file://component_validate_password';
若无结果，运行：
INSTALL COMPONENT 'file://component_validate_password';
- 组件安装后立即生效，无需重启
- 组件和插件可共存，但 MySQL 优先使用组件；卸载插件前务必先装好组件，避免验证空窗期
- 某些容器镜像或非官方二进制包可能不带该组件，需手动补全或换用官方镜像
my.cnf 里参数名必须带点号，不能用下划线
在配置文件中写错格式会导致所有策略静默失效，且 MySQL 启动时不报错、不警告。
错误写法（插件风格，8.0 组件不认）：
[mysqld]<br>validate_password_length = 12<br>validate_password_policy = STRONG
正确写法（组件要求 dotted notation）：
Teleport tsh SSH (Identity-First SSH Access, no passwords/static keys)
下载
使用tbot机器ID身份文件配合tsh CLI，通过Teleport访问控制SSH登录托管主机或执行远程命令。
[mysqld]<br>validate_password.length = 12<br>validate_password.policy = STRONG<br>validate_password.mixed_case_count = 2<br>validate_password.number_count = 2<br>validate_password.special_char_count = 2
-
validate_password.check_user_name默认为 ON，但建议显式写入配置以明确意图 -
validate_password.dictionary_file必须指定路径（如/etc/mysql/weak-passwords.txt），否则 STRONG 策略初始化失败，报错Plugin 'validate_password' could not be initialized - 配置后必须重启 MySQL 才能加载，仅
SET GLOBAL无法持久化
STRONG 策略才激活 password_history 和 password_reuse_interval
很多人配了 validate_password.history = 5 却发现改密时没校验旧密码，根本原因是策略等级仍为 MEDIUM 或未真正启用组件。
只有 validate_password.policy = STRONG 时，以下参数才生效：
-
validate_password.history：保存最近 N 次旧密码哈希（自动建表mysql.password_history） -
validate_password.reuse_interval：单位为天，设为 90 表示 90 天内不可重用 - 这两个参数对
ALTER USER ... IDENTIFIED BY生效，但对 root 初始改密（ERROR 1820）同样触发校验
注意：password_history 表由组件自动创建，首次设置 history 后需至少一次成功改密才会填充数据。
策略只对 CREATE/ALTER USER 生效，不扫描已有密码
启用 validate_password 后，不会自动检查或强制修改已存在的用户密码。比如 root 或 app 用户的当前密码即使为 123456，也不会被拒绝或告警。
必须主动触发校验才能落地：
- 对每个需加固的用户执行
ALTER USER 'user'@'host' IDENTIFIED BY 'NewStrongPass!2026' - 若用户有密码过期（
password_lifetime != 0），下次登录时也会走同一套校验逻辑 - 应用连接池里的旧密码若未更新，重启服务后将因认证失败中断连接——这是上线前最常漏掉的实操点
复杂点在于：策略是全局的，无法按用户分级；所有账户共用同一套 validate_password.* 参数。真要差异化控制，只能靠应用层拦截或权限最小化兜底。
