MySQL数据库用户密码过期策略，简单说就是强制用户定期更换密码，这是数据库安全防护的核心环节。如果密码永久有效，一旦泄露就会带来持续风险；而设置过期时间，比如90天或180天，就能将潜在危害控制在有限时间内。在MySQL中，这项功能主要通过系统变量"default_password_lifetime"和用户账户的"PASSWORD EXPIRE"属性来实现。你可以全局设置所有用户的默认密码有效期，也可以针对单个账户（比如管理员或应用账号）进行精细化管理。接下来，我会详细解释如何配置、管理这一策略，并分享一些实际运维中的最佳实践。

MySQL密码过期策略的核心机制

MySQL的密码过期策略主要围绕两个层面运作：全局默认设置和单个用户设置。全局参数"default_password_lifetime"决定了新创建用户的默认密码有效期，其值以天为单位。例如，设置为90表示密码90天后过期。这个参数可以在MySQL配置文件（如my.cnf或my.ini）中永久修改，也可以通过SQL语句动态调整。对于单个用户，你可以使用"ALTER USER"语句直接指定其密码过期时间，甚至可以设置为立即过期或永不过期，这比全局设置更加灵活。密码过期后，用户再次连接数据库时，系统会强制要求更改密码，否则拒绝执行任何操作。这种机制确保了即便密码信息不慎外泄，攻击者也无法长期利用。

如何配置全局密码过期策略

配置全局策略最直接的方法是修改MySQL的系统变量。首先，你可以通过以下SQL命令查看当前设置：

SHOW VARIABLES LIKE 'default_password_lifetime';

如果返回值为0，表示密码永不过期（这也是许多旧版本MySQL的默认设置）。要修改为90天有效期，可以执行：

SET GLOBAL default_password_lifetime = 90;

但请注意，这条命令只对当前运行实例有效，MySQL重启后会失效。要永久生效，必须在配置文件中添加：

[mysqld]
default_password_lifetime = 90

之后重启MySQL服务。此设置仅对新创建的用户生效，已有用户的密码过期状态不会自动改变。因此，在启用全局策略后，通常还需要批量更新现有账户。

管理单个用户的密码过期设置

对于特定账户，MySQL允许单独设置密码过期策略，这在实际运维中极为重要。例如，管理员账户可能需要更短的过期周期（如30天），而只读报表账户可以设置较长的周期（如365天）。以下是常用操作示例：

1. 设置用户密码立即过期（适用于新员工账户或密码重置后）：

ALTER USER 'report_user'@'localhost' PASSWORD EXPIRE;

2. 指定具体过期天数：

ALTER USER 'admin_user'@'%' PASSWORD EXPIRE INTERVAL 30 DAY;

3. 禁止密码过期（适用于服务账户，但需权衡安全风险）：

ALTER USER 'app_user'@'192.168.1.%' PASSWORD EXPIRE NEVER;

4. 恢复为全局默认策略：

ALTER USER 'test_user'@'localhost' PASSWORD EXPIRE DEFAULT;

通过查询"mysql.user"系统表，可以监控所有用户的过期状态：

SELECT user, host, password_last_changed, password_lifetime FROM mysql.user;

密码过期后的用户处理流程

当用户密码过期后，其登录行为会受限。以命令行客户端为例，过期用户连接时会收到错误提示：“Your password has expired. To log in you must change it using a client that supports expired passwords.” 此时，用户必须直接修改密码才能继续操作。修改方式有两种：

1. 在登录时直接修改（MySQL 5.7及以上版本支持）：

mysql -u expired_user -p --connect-expired-password

登录后系统会自动提示输入新密码。

2. 通过已登录的管理员账户重置：

ALTER USER 'expired_user'@'localhost' IDENTIFIED BY 'NewStrongPassword2024!' PASSWORD EXPIRE;

注意，新密码应符合复杂度要求（如包含大小写字母、数字和特殊字符），否则可能被拒绝。修改成功后，用户权限立即恢复。

密码策略与过期时间的联动配置

密码过期策略通常需要与密码复杂度策略、失败登录锁定策略配合使用，形成多层防御。MySQL 5.6之后，可通过插件（如"validate_password"）强制密码复杂度。例如，安装插件后，可以设置最小长度、混合字符等规则：

INSTALL PLUGIN validate_password SONAME 'validate_password.so';
SET GLOBAL validate_password_length = 10;
SET GLOBAL validate_password_mixed_case_count = 2;

这样，用户在修改过期密码时，就必须创建符合复杂度要求的密码。同时，建议结合"default_password_lifetime"与失败登录锁定（如"CREATE USER ... FAILED_LOGIN_ATTEMPTS"）来防范暴力破解。例如，密码有效期设为60天，失败尝试设为5次，能在定期更新的基础上增加主动防护。

企业级运维中的最佳实践

在生产环境中，实施密码过期策略需遵循以下原则：首先，分类管理账户。将账户分为人类用户（如DBA、开发者）和应用程序用户，人类用户强制90天过期，应用用户则使用长周期密码配合密钥管理工具（如Vault）自动轮换。其次，设置缓冲期提醒。可以通过定时任务扫描即将过期的账户（如提前7天），并发送邮件通知。示例查询语句：

SELECT user, host, password_last_changed, 
       DATE_ADD(password_last_changed, INTERVAL password_lifetime DAY) AS expiry_date
FROM mysql.user 
WHERE password_lifetime > 0 
AND DATE_ADD(password_last_changed, INTERVAL password_lifetime DAY) BETWEEN NOW() AND DATE_ADD(NOW(), INTERVAL 7 DAY);

第三，审计与合规。定期检查是否有账户绕过策略（如"PASSWORD EXPIRE NEVER"），确保符合企业内部安全规范或行业标准（如PCI-DSS要求90天更换）。最后，备份与回滚。在批量修改策略前，导出用户权限脚本，以防配置错误导致服务中断。

常见问题与故障排除

实施过程中可能遇到典型问题：一是应用程序因密码过期突然中断连接。此时需临时将应用账户设为永不过期，排查代码中的连接池配置，并改为支持密码轮换的机制。二是忘记修改密码导致管理员账户被锁。可通过"--skip-grant-tables"模式启动MySQL，重置密码后立即恢复策略。三是版本兼容性问题，MySQL 5.6之前的部分版本不支持精细的过期设置，升级到5.7或8.0是根本解决方案。另外，注意复制环境中，主从节点的密码策略需保持一致，否则可能导致复制中断。

总结与安全建议

MySQL密码过期策略是数据库安全体系中简单却有效的一环。它不能单独依赖，但结合强密码、加密连接、最小权限原则和网络隔离，能大幅降低凭证泄露风险。对于MySQL 8.0用户，建议探索更多新特性，如动态权限、角色管理和密码历史记录（防止重复使用旧密码），这些都能与过期策略形成互补。最终，所有安全配置都应写入文档并定期演练，确保团队在紧急情况下能快速响应。记住，安全不是一次性的设置，而是持续监控和优化的过程。