最可靠方案是仅修改目标用户认证插件而非全局配置：执行alter user 'user'@'host' identified with mysql_native_password by 'pwd'并flush privileges，因default_authentication_plugin仅影响新用户且云数据库通常禁用，而set password不改变插件。
不能安全地将 MySQL 8.0 全局默认认证插件“降级”为 mysql_native_password —— 这不是配置开关，而是设计取舍。真正可落地、生产可用的方案，是只改目标用户，不碰全局配置。
为什么 default_authentication_plugin = mysql_native_password 在多数场景下无效
这个配置项只在新建用户时生效，对 root、app_user 等已有账户完全不起作用。云数据库（如阿里云 RDS、腾讯云 CDB）通常禁止修改 my.cnf；即使自建库成功写入并重启 mysqld，你仍需单独执行 ALTER USER 才能让老应用连上——否则只是白改。
更隐蔽的坑是：MySQL 8.0.4+ 虽支持该配置，但 8.0.25+ 官方已明确标记为 deprecated，未来版本可能移除。强行设为 mysql_native_password 还可能触发插件加载失败（尤其当 sha256_password 未启用时），导致启动报错 Plugin 'sha256_password' is not loaded。
ALTER USER 是唯一跨环境稳定的修复方式
所有 MySQL 8.0+ 环境（包括 Docker、RDS、免安装版）都支持这条语句，且立即生效，无需重启：
- 必须显式指定插件：
ALTER USER 'app_user'@'localhost' IDENTIFIED WITH mysql_native_password BY 'new_strong_pwd'; - 主机名要一字不差：
'app_user'@'127.0.0.1'和'app_user'@'localhost'是两条独立记录，需分别执行 - 密码必须满足 validate_password 策略（默认要求 ≥8 位 + 大小写字母 + 数字 + 特殊字符），弱密码会被拒绝，别误判为插件没切成功
- 执行后务必加
FLUSH PRIVILEGES;，部分小版本（如 8.0.22 及更早）不刷权限就无法生效
如何确认当前用户到底用的是哪个 plugin
别猜，先查。用 root 或高权限账号登录后执行：
SELECT user, host, plugin FROM mysql.user WHERE user = 'app_user';
注意三点：
-
user和host必须严格匹配你连接时用的凭证，比如 Navicat 默认走127.0.0.1，但你可能只改了localhost - 若
plugin列显示caching_sha2_password，说明问题根源在此，不是密码或网络问题 - 如果结果为空，说明该用户不存在，需先
CREATE USER再ALTER USER
为什么 SET PASSWORD 或 ALTER USER ... IDENTIFIED BY 不行
这两条语句只重置密码哈希值，不会变更认证插件。用户仍会以原插件（如 caching_sha2_password）发起握手，老客户端照样报错 Client does not support authentication protocol requested by server。
真正切换插件的唯一语法是 IDENTIFIED WITH —— 它强制覆盖认证路径，同时更新密码存储格式（SHA256 → SHA1 哈希）。漏掉 WITH 关键字，等于什么都没修。
最常被忽略的细节：改完之后，本地 socket 连接（localhost）有时因系统解析机制失效，建议立刻用 mysql -h 127.0.0.1 -u app_user -p 验证是否纯插件问题。
