怎样在MySQL中设置连续输错密码自动锁定账号-mysql教程-PHP中文网

不能。mysql 8.0+ 原生不直接支持输错n次自动锁定账号，failed_login_attempts必须与password_lock_time成对设置、且仅对caching_sha2_password或mysql_native_password用户生效，单独配置无效；validate_password仅校验密码强度，不参与登录失败计数。

怎样在mysql中设置连续输错密码自动锁定账号

MySQL 8.0+ 自带的 `VALIDATE_PASSWORD` 和 `FAILED_LOGIN_ATTEMPTS` 能否直接锁定账号？

不能。MySQL 原生不提供「输错 N 次自动禁用账号」的功能。VALIDATE_PASSWORD 插件只管密码强度，FAILED_LOGIN_ATTEMPTS 是 MySQL 8.0.19+ 引入的账户锁定策略参数，但它**必须配合 LOCK_TIME 才生效**，且仅对启用了 mysql_native_password 或 caching_sha2_password 认证插件的用户有效。

常见误区是只设 FAILED_LOGIN_ATTEMPTS = 3 就以为账号会锁——实际不会，必须显式指定 LOCK_TIME（单位：秒）或设为 0（永久锁定），否则该策略被忽略。

CREATE USER 'u1'@'%' IDENTIFIED WITH mysql_native_password BY 'pwd' FAILED_LOGIN_ATTEMPTS 3 LOCK_TIME 60; ✅ 3 次失败后锁定 60 秒
CREATE USER 'u1'@'%' IDENTIFIED BY 'pwd' FAILED_LOGIN_ATTEMPTS 3; ❌ 不生效，缺 LOCK_TIME
已存在的用户需用 ALTER USER ... ACCOUNT LOCK 手动锁，但这是永久性操作，不带自动恢复逻辑

如何给现有用户启用自动锁定（MySQL 8.0.19+）？

只能对新创建用户直接定义，或对已有用户先 DROP 再重建（注意权限和对象依赖）。MySQL 不允许对已有用户在线修改 FAILED_LOGIN_ATTEMPTS 或 LOCK_TIME ——ALTER USER 语法不支持这两个属性。

实操建议：

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

备份原用户权限：SHOW GRANTS FOR 'u1'@'%';，记录输出
删除并重建用户，带上锁定策略：DROP USER 'u1'@'%'; CREATE USER 'u1'@'%' IDENTIFIED BY 'pwd' FAILED_LOGIN_ATTEMPTS 5 LOCK_TIME 300;
重授权限：GRANT SELECT ON db.* TO 'u1'@'%'; FLUSH PRIVILEGES;
验证是否生效：SELECT user, host, account_locked, password_locking_type, failed_login_attempts, lock_time FROM mysql.user WHERE user = 'u1';

注意：account_locked 字段显示 Y 表示当前被锁（手动或自动触发），但不反映策略是否启用；真正看的是 password_locking_type（应为 FAILED_LOGIN_ATTEMPTS）和 failed_login_attempts 值。

为什么测试时输错密码账号没被锁？排查要点

最常踩的坑不是语法写错，而是环境或配置没对齐：

MySQL 版本低于 8.0.19 → 不支持该特性，升级是唯一解
客户端连接时用了 --protocol=TCP 或跳过密码认证（如 -A 参数误用），导致登录未走认证流程
用户认证插件不是 mysql_native_password 或 caching_sha2_password（例如用了 sha256_password 或自定义插件）→ 策略不触发
错误日志里出现 Access denied for user ... (using password: YES) 才算计入失败次数；若报 Unknown MySQL server host 或网络超时，则不算
max_connect_errors 系统变量（默认 100）会封 IP，和账户锁定无关，别混淆

替代方案：应用层控制 or 外部工具

如果无法升级 MySQL，或需要更灵活策略（如按 IP 统计、图形化告警、临时解锁界面），就得绕开数据库原生能力：

在应用代码里维护失败计数（存 Redis），登录前校验，超限则拒绝连接并返回明确提示
用 fail2ban 监控 MySQL 错误日志（/var/log/mysql/error.log），匹配 Access denied 行为后封禁来源 IP（注意：这是封 IP，非锁账号）
定期脚本扫描 mysql.user 表 + performance_schema.events_statements_history（需开启相关消费者），做离线分析，但无法实时拦截

原生账户锁定只响应「该用户凭据的连续错误」，不感知 IP、设备、时间窗口等上下文——这点容易被忽略，结果上线后发现攻击者换 IP 就绕过了。