确认是否为caching_sha2_password插件导致连接失败，需登录MySQL执行SELECT user, host, plugin FROM mysql.user WHERE user = 'your_username'；若plugin显示caching_sha2_password，且使用旧驱动或GUI工具（如Navicat 12），即为该插件不兼容所致，须精确匹配host并ALTER USER切换插件、刷新权限。
MySQL 8.0 默认用 caching_sha2_password，而旧驱动（如 mysql-connector-java 5.x、PyMySQL <1.0、MySql.Data v7.x）根本不认识它——连接在握手第一阶段就断了，不是密码错，是协议不匹配。
怎么确认是不是这个插件惹的祸
登录 MySQL 命令行后直接查：
SELECT user, host, plugin FROM mysql.user WHERE user = 'your_username';
如果 plugin 列显示 caching_sha2_password，且你用的是老驱动或 GUI 工具（Navicat 12、DBeaver 旧版、DBVisualizer 9.x），基本就是它了。
- 注意
host必须精确匹配：连的是'root'@'127.0.0.1'，就不能只改'root'@'localhost' - 云数据库（如阿里云 RDS）通常禁写配置文件，
ALTER USER是唯一路径 - 某些客户端（Navicat）会缓存握手参数，改完服务端必须关掉重开软件，否则还在用旧流程重试
ALTER USER 切换插件时最容易踩的坑
只写 IDENTIFIED WITH mysql_native_password 不带密码，会导致密码被清空；只重设密码不指定插件，plugin 字段不变——两者必须同时做。
- 正确写法：
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'your_pass'; - 改完必须执行：
FLUSH PRIVILEGES;，否则变更不生效 - 如果用
127.0.0.1连（Navicat 默认行为），还得单独处理'root'@'127.0.0.1' - 密码含
@、/、!等字符时，命令行连接要加单引号：mysql -uroot -p'pass!@#'
为什么改了 my.cnf 还是连不上
default_authentication_plugin = mysql_native_password 只影响新创建的用户，对已存在的 root、appuser 等完全无效。
- 重启 MySQL（
sudo systemctl restart mysqld）后，新建用户才走新插件 - 云服务（RDS/CDB）通常屏蔽该配置项，
SHOW VARIABLES LIKE 'default_authentication_plugin'仍显示caching_sha2_password - Docker 启动时加
--default-authentication-plugin=mysql_native_password同样不修复存量用户
驱动和连接参数不配齐，切了插件也白搭
即使服务端已切回 mysql_native_password，Java 应用仍可能卡在握手阶段，因为驱动版本或 URL 参数没跟上。
- JDBC 驱动必须是
mysql-connector-java-8.0.x.jar（如 8.0.33），不能是 5.1.x - 驱动类名必须是
com.mysql.cj.jdbc.Driver，com.mysql.jdbc.Driver在 8.0+ 中已移除 - URL 必须显式加参数：
?serverTimezone=Asia/Shanghai&allowPublicKeyRetrieval=true&useSSL=false - PyMySQL 必须 ≥1.0：
pip install --upgrade pymysql；mysqlclient则需 ≥2.0
最常被忽略的其实是 host 匹配精度和客户端缓存——改完 SQL 却忘了 Navicat 还连着 'root'@'127.0.0.1'，或者 DBeaver 没清连接池，问题就还在原地打转。
