MySQL 8.0如何设置PASSWORD EXPIRE选项强制用户下次登录必须更改密码？

本文共计633个文字，预计阅读时间需要3分钟。

MySQL 8.0 默认启用密码过期策略，使用 PASSWORD+EXPIRE 是控制该行为的核心选项。这并非强制修改密码，而是要求账户在下一次登录时更改密码——前提是用户尚未有更改密码的权限或服务器未禁用此机制。

执行 ALTER USER ... PASSWORD EXPIRE 的正确写法

必须用 ALTER USER（不是 SET PASSWORD 或旧版 GRANT），且需有 CREATE USER 或 ALTER USER 权限：

ALTER USER 'alice'@'localhost' PASSWORD EXPIRE;

常见错误包括：

• 对不存在的用户执行，报错 ERROR 1396 (HY000): Operation ALTER USER failed for 'alice'@'localhost'
• 用 SET PASSWORD FOR 'alice'@'localhost' = 'xxx'; —— 这不会触发过期逻辑
• 漏掉主机名部分，比如只写 'alice'，而实际用户是 'alice'@'192.168.%'

为什么用户登录后没被提示改密码？检查这三点

即使设了 PASSWORD EXPIRE，用户仍可能直接登录成功，常见原因：

• 用户拥有 ALTER USER 权限：MySQL 允许有该权限的用户跳过强制重置流程
• 客户端连接时加了 --init-command="ALTER USER USER() IDENTIFIED BY 'newpass'" 类似逻辑（极少见，但会绕过）
• 服务器配置了 default_password_lifetime = 0（全局关闭密码过期），此时 PASSWORD EXPIRE 实际无效

确认当前策略：运行 SELECT @@default_password_lifetime;，非零值才生效。

配合 PASSWORD EXPIRE 的实用组合操作

单独设过期往往不够，常需搭配其他限制以确保安全落地：

• 设为立即过期并禁止临时绕过：ALTER USER 'alice'@'localhost' PASSWORD EXPIRE NOW;
• 限制只能用强密码（需先启用 validate_password 插件）：ALTER USER 'alice'@'localhost' PASSWORD EXPIRE NOW PASSWORD REQUIRE CURRENT;
• 查看用户状态是否已标记过期：SELECT User, Host, password_expired FROM mysql.user WHERE User = 'alice';，返回 'Y' 表示生效

注意：PASSWORD EXPIRE 不影响已建立的活跃连接，只作用于新登录；且无法通过 mysql -u alice -p 的交互式输入绕过——MySQL 服务端会在认证后、授权前拦截并返回错误 ERROR 1820 (HY000): You must reset your password using ALTER USER statement before executing this statement.