mysql 8.0默认不满足等保三级任何刚性要求，必须显式配置：安装validate_password组件（非plugin）、设policy=strong、length=12、mixed_case_count=2等参数，启用caching_sha2_password+require ssl双因子，禁用root远程、删除test库，并为现有用户补设密码过期。
MySQL 8.0 默认不满足等保三级任何刚性安全要求——密码无强度校验、认证方式单一、无强制SSL、权限模型松散、审计缺失。所有合规项都必须显式配置，且顺序和依赖关系极强，错一步就导致策略失效或业务中断。
validate_password 组件必须用 INSTALL COMPONENT 安装，不能用 INSTALL PLUGIN
MySQL 8.0+ 已将密码验证功能从插件（plugin）升级为服务器组件（component），INSTALL PLUGIN validate_password SONAME 'validate_password.so' 在 8.0.16 及以后版本会报错 ERROR 3510 (HY000) 或静默失败。
- 先查是否已加载：
SELECT * FROM mysql.component WHERE component_id LIKE 'validate_password%'; - 未安装则执行：
INSTALL COMPONENT 'file://component_validate_password';（路径必须带file://前缀） - 若提示
Component not found，说明当前 MySQL 二进制包不含该组件，需换用官方 RPM/DEB 包重装，或升级到完整版 - 安装后立即生效，但重启会丢失——必须在
/etc/my.cnf的[mysqld]段追加validate_password=FORCE_PLUS_PERMANENT才能持久化
policy = STRONG 是硬门槛，MEDIUM 不够用
等保三级测评工具会检查字典比对能力，而只有 validate_password.policy = 'STRONG' 才真正激活 validate_password.dictionary_file 和 validate_password.check_user_name。设成 MEDIUM 时，即使你手动 SET 了 mixed_case_count = 2，字典和用户名检查也完全不触发。
- 必须执行：
SET GLOBAL validate_password.policy = 'STRONG'; - 配套参数要显式覆盖（不能依赖默认值）：
SET GLOBAL validate_password.length = 12;、SET GLOBAL validate_password.mixed_case_count = 2;、SET GLOBAL validate_password.number_count = 2;、SET GLOBAL validate_password.special_char_count = 1; -
validate_password.check_user_name默认为 ON，但务必验证：SHOW VARIABLES LIKE 'validate_password.check_user_name';结果应为ON - 若启用字典检查，
validate_password.dictionary_file必须指向有效可读的纯文本文件（每行一个弱口令），否则 STRONG 会退化为 MEDIUM
密码过期和 SSL 强制是双因子认证的最低实现路径
等保三级明确要求“两种及以上鉴别技术”，纯密码认证（哪怕再强）直接判高风险。MySQL 8.0 原生不支持短信/令牌，但可通过 caching_sha2_password + REQUIRE SSL 组合模拟双因子效果。
- 创建用户时必须带
REQUIRE SSL：CREATE USER 'app_user'@'192.168.1.%' IDENTIFIED WITH caching_sha2_password BY 'Xy7#mQn!2026' REQUIRE SSL; - 验证是否生效：
SELECT user, host, ssl_type FROM mysql.user WHERE user = 'app_user';结果中ssl_type必须是ANY或X509；若为NONE，说明服务端未配 SSL 或用户未强制 - 服务端 SSL 必须提前配好：
ssl_ca、ssl_cert、ssl_key三项缺一不可，否则该用户根本无法登录 - 已有用户需补过期策略：
ALTER USER 'root'@'localhost' PASSWORD EXPIRE INTERVAL 90 DAY;，否则测评时发现大量账号永不过期
别忘了禁用 root 远程和清理 test 库——这是高频扣分点
测评工具会自动扫描 mysql.user 表，只要发现 'root'@'%' 或 'test'@'%' 就直接标记为高风险项，占比超 35% 的失败案例源于此。
- 立即撤销远程 root：
DROP USER 'root'@'%';（保留'root'@'localhost'即可） - 删除测试库：
DROP DATABASE IF EXISTS test;，并确认mysql.db中无残留授权记录 - 检查通配符授权：
SELECT user, host FROM mysql.user WHERE host = '%';，非必要账号一律改为具体 IP 段 - 禁用
mysql_native_password认证：ALTER USER 'app_user'@'%' IDENTIFIED WITH caching_sha2_password BY '...';，否则测评报告会写“认证方式单一”
实际配置中最容易被忽略的是：策略参数只对新建或重置密码的用户生效，已有用户的密码不会被回溯校验；SET GLOBAL 修改不写入配置文件，MySQL 重启后全部丢失；REQUIRE SSL 用户若连不上，第一反应不是改应用，而是该去查服务端 SSL 是否真启用——这些都不是 bug，是加固闭环里必须亲手踩过的坑。
