答案是执行select user, host, plugin from mysql.user where plugin = 'caching_sha2_password'确认问题用户，再用alter user 'user'@'host' identified with mysql_native_password by 'pwd'逐个修改并flush privileges。
不能“彻底禁用”caching_sha2_password插件本身，但可以确保它不被任何用户使用——这才是实际要解决的问题。
确认当前哪些用户在用caching_sha2_password
别猜，先查。用能连上的账号（比如root本地登录）执行：
SELECT user, host, plugin FROM mysql.user WHERE plugin = 'caching_sha2_password';
重点看结果里有没有你正在连接的用户（比如'app_user'@'%' 、'repl_user'@'192.168.10.20'）。注意：'root'@'localhost'和'root'@'127.0.0.1'是两个独立用户，必须分别检查。
- 如果结果为空，说明问题不在用户认证方式，可能是客户端驱动或连接参数问题
- 如果结果非空，下一步就是逐个重置这些用户的
plugin
ALTER USER 是唯一可靠的操作方式
修改单个用户的认证方式，必须用ALTER USER显式指定密码，否则会清空密码导致锁死：
ALTER USER 'your_user'@'your_host' IDENTIFIED WITH mysql_native_password BY 'your_actual_password';
关键点：
- 必须写全
'user'@'host'，不能只写'user' -
BY 'password'不可省略，哪怕原密码没变 - 改完立刻执行
FLUSH PRIVILEGES;，否则不生效 - 云数据库（如阿里云RDS、腾讯云CDB）不支持改
my.cnf，这条路根本走不通，ALTER USER是唯一入口
为什么改 default_authentication_plugin 没用
在my.cnf里设置default_authentication_plugin=mysql_native_password只影响「之后新建的用户」，对已存在的用户完全无效。重启MySQL服务也不会改变现有用户的plugin值。
常见误操作：
- 改了配置却没重启服务 → 配置未加载
- 重启了服务但没重置存量用户 → 连接失败照旧
- 只改了
'user'@'localhost'，漏掉'user'@'%'→ 远程连接仍失败
尤其要注意：主从复制场景下，repl_user这类账号几乎总是被忽略，必须单独查、单独改。
客户端工具缓存和驱动版本也要同步处理
服务端改完不代表万事大吉。Navicat、DBeaver、Workbench 等工具会缓存旧连接参数，必须关闭重开或删除旧连接重建；代码中使用的驱动也得匹配：
- JDBC：驱动版本低于 8.0.16 时，即使加
allowPublicKeyRetrieval=true&useSSL=false也可能失败 - PyMySQL：≤1.0.1 不支持
caching_sha2_password，必须升到 ≥1.0.2 或换用mysql-connector-python - Docker 场景：宿主机的 MySQL 客户端版本 ≠ 容器内应用所用驱动版本，要分别检查
最易被忽略的一点：宝塔、phpEnv 等面板环境，改完后必须手动重启 MySQL 服务，否则连接池可能继续用旧认证状态，导致从库 IO 线程卡住不动。
