MySQL通过connection_control插件实现失败登录限制，需手动安装CONNECTION_CONTROL和CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS两个组件，配置connection_control_failed_connections_threshold（推荐5～10）触发延迟响应。
mysql failed login limit 插件怎么启用
MySQL 本身不自带失败登录次数限制功能，得靠 validate_password 插件以外的扩展——实际可用的是 connection_control 插件。它不是默认加载的，必须手动安装并配置阈值。
- 先确认 MySQL 版本 ≥ 5.7.17（低版本不支持），执行
SELECT VERSION(); - 检查插件是否已安装：
SHOW PLUGINS;查找CONNECTION_CONTROL和CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS两行，状态需为ACTIVE - 没启用就加载：
INSTALL PLUGIN CONNECTION_CONTROL SONAME 'connection_control.so';（Linux）或'connection_control.dll'（Windows） - 加载后立即生效，无需重启，但配置参数要写进
my.cnf才持久化
connection_control_failed_connections_threshold 是什么
这是核心控制参数，定义“多少次失败后开始延迟响应”。注意：它不是“封账号”，而是触发服务端人为延迟，让暴力工具变慢——本质是增加攻击成本，不是阻断连接。
- 默认值是 3，意味着连续 3 次输错密码，第 4 次起响应会带延迟（由
connection_control_min_connection_delay控制） - 设太小（比如 1）会导致正常用户输错一次就卡住，体验极差；设太大（比如 100）等于形同虚设
- 推荐值：5～10，配合
connection_control_min_connection_delay = 1000（单位毫秒）较平衡 - 修改方式：
SET GLOBAL connection_control_failed_connections_threshold = 5;，但仅当前会话有效；务必同步写入my.cnf的[mysqld]段落
为什么 show variables like '%connection_control%' 看不到参数
常见现象：插件装了、SHOW PLUGINS 显示 ACTIVE，但查不到相关变量。这是因为插件依赖两个组件同时激活——CONNECTION_CONTROL（主控）和 CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS（记录表），缺一不可。
- 只装
CONNECTION_CONTROL不会自动装另一个，必须显式安装：INSTALL PLUGIN CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS SONAME 'connection_control.so'; - 装完再查
SHOW VARIABLES LIKE '%connection_control%';就能看到全部参数 - 如果仍看不到，检查错误日志：
/var/log/mysqld.log或SHOW GLOBAL VARIABLES LIKE 'log_error';，常见报错是Can't open shared library 'connection_control.so'，说明路径不对或权限不足 - Linux 下确保
plugin_dir路径正确，且 so 文件有 mysql 用户可读权限
failed login 记录存在哪？能清空吗
失败记录存在内存表 information_schema.CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS，不是磁盘表，MySQL 重启即清空。它只存最近的失败 IP + 用户组合，不存密码、时间戳等敏感字段。
- 查看当前失败记录：
SELECT * FROM information_schema.CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS; - 不能用
TRUNCATE或DELETE清空，这是只读表；唯一清空方式是重启 MySQL 或重置插件：UNINSTALL PLUGIN CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS;再重装 - 别指望靠它做审计——它不记时间、不记来源端口、不记成功登录，纯为触发延迟服务
- 真要审计登录行为，得开
general_log或用 MySQL Enterprise Audit（社区版无）
插件生效后，暴力工具会明显变慢，但对单个 IP 的首次爆破仍然有效。真正防住需要配合防火墙限速（如 iptables 每分钟允许 5 次 3306 连接）——插件只是第一道软性门槛，不是银弹。
