问题根源是caching_sha2_password插件强制要求安全连接，导致主从非SSL连接失败；应先用SELECT和SHOW确认用户插件与默认配置，再用ALTER USER显式切换为mysql_native_password并FLUSH PRIVILEGES。
主从复制 IO 线程卡在 Authentication requires secure connection，基本就是 caching_sha2_password 在阻断握手——别改配置文件，先确认并重置复制用户插件。
怎么快速定位是复制用户插件问题
登录主库执行这两条命令：
-
SELECT user, host, plugin FROM mysql.user WHERE user = 'repl_user';（把repl_user换成你实际用的复制账号） SHOW VARIABLES LIKE 'default_authentication_plugin';
如果第一行结果里 plugin 是 caching_sha2_password，第二行是同名值，且从库报错含 Authentication requires secure connection 或 Authentication plugin 'caching_sha2_password' cannot be loaded，那问题就锁定了。注意：repl_user@'%' 和 repl_user@'192.168.10.20' 是两个独立账号，必须查准 host。
ALTER USER 是唯一能立刻生效的解法
改 my.cnf 里的 default_authentication_plugin 对已有复制用户完全无效，重启也不起作用。必须显式重置用户认证方式：
- 用 root 登录主库：
mysql -u root -p - 执行（替换用户名、host、密码）：
ALTER USER 'repl_user'@'%' IDENTIFIED WITH mysql_native_password BY 'your_actual_password'; - 立即刷新：
FLUSH PRIVILEGES;
特别注意：密码字段必须重填，哪怕没变；@'localhost' 和 @'%' 要分别处理；宝塔或 phpEnv 等面板环境，改完后必须手动重启 MySQL 服务，否则从库 IO 线程可能仍缓存旧认证状态。
构建并排查Microsoft Word邮件合并及DOCX模板工作流，使用合并域、内容控件、文档属性、重复区块、数据等
为什么不能只配 SSL 或证书来硬扛
启用 caching_sha2_password 的安全模式代价太高，且多数复制场景不现实：
- 主库得生成 RSA 密钥对，并确保公钥能被从库稳定获取（
get_server_public_key=1） - 从库客户端驱动版本必须支持该流程（如
mysql-connector-java 8.0.28+），但 MySQL 自带的复制线程不走 JDBC，它依赖的是 C 客户端库，版本往往滞后 - 中间若有 NAT、云厂商 LB 或代理，额外的公钥请求握手极易超时，表现为
Lost connection during authentication - 阿里云 RDS、腾讯云 CDB 等托管服务通常禁用 RSA 公钥分发机制，这条路直接堵死
真正要长期用 caching_sha2_password，得主从都跑 MySQL 8.0+ 且网络直连无中间件——这在生产复制链路里反而是少数。
docker 部署主库时最容易漏掉的一环
用 docker-compose.yml 启动 MySQL 8.0 主库时，加了 --default-authentication-plugin=mysql_native_password 只影响新创建的用户，而初始化脚本（如 docker-entrypoint-initdb.d）创建的 root 或 repl_user 仍默认走 caching_sha2_password。所以正确做法是：
- 容器启动后立刻进容器：
docker exec -it mysql-master mysql -u root -p - 执行
ALTER USER+FLUSH PRIVILEGES，对象必须是初始化脚本里实际创建的那个用户（比如'repl_user'@'172.20.0.%'） - 不要依赖 initdb 脚本里写
CREATE USER ... IDENTIFIED WITH mysql_native_password——某些 MySQL 8.0 镜像会忽略该子句，仍按默认插件创建
最麻烦的不是语法写错，而是主库上一个用户有多个 host 条目，你改了 @'127.0.0.1'，但从库连的是 @'172.20.0.3'，查 mysql.user 表比猜更可靠。
