确认是复制用户插件问题：登录主库执行SELECT user, host, plugin FROM mysql.user WHERE user = 'repl_user'和SHOW VARIABLES LIKE 'default_authentication_plugin'，若plugin为caching_sha2_password且报错含“Authentication requires secure connection”，则问题锁定；必须用ALTER USER 'repl_user'@'host' IDENTIFIED WITH mysql_native_password BY 'password'显式修改并FLUSH PRIVILEGES。
主从同步卡在 IO 线程、报错含 “Authentication requires secure connection” 或 “caching_sha2_password cannot be loaded”，基本就是复制用户认证插件不匹配——别改 my.cnf，直接 ALTER USER 切换插件，否则永远连不上。
怎么确认是复制用户插件问题
登录主库（用 root 或有 SUPER 权限的账号），执行这两条命令：
-
SELECT user, host, plugin FROM mysql.user WHERE user = 'repl_user';（把repl_user换成你实际配置的复制账号） SHOW VARIABLES LIKE 'default_authentication_plugin';
如果第一行结果中 plugin 是 caching_sha2_password，第二行值也是同名，且从库 SHOW REPLICA STATUS\G 显示 Last_IO_Error 含上述错误信息，问题就锁定了。注意：repl_user@'%' 和 repl_user@'192.168.10.20' 是两个独立账号，必须查准 host 再操作。
ALTER USER 必须写全用户名+host+密码
在主库执行以下语句（替换为你的真实值）：
ALTER USER 'repl_user'@'%' IDENTIFIED WITH mysql_native_password BY 'your_actual_password';
关键点：
- 必须包含
@'host'，不能只写'repl_user'；@'localhost'和@'%'要分别处理 -
BY 'your_actual_password'必须显式写出，哪怕密码没变——漏掉会导致密码被清空 - 执行完立刻跟
FLUSH PRIVILEGES;，否则变更不生效 - 宝塔、phpEnv 等面板环境，改完必须手动重启 MySQL 服务，否则从库 IO 线程可能仍缓存旧状态
为什么改 my.cnf 的 default_authentication_plugin 没用
default_authentication_plugin=mysql_native_password 只影响「之后新建的用户」，对已存在的复制用户完全无效，重启 MySQL 也不起作用。很多用户改完配置以为解决了，结果发现 repl_user 还是 caching_sha2_password，就是因为这个配置根本不动存量用户。云数据库（如阿里云 RDS）甚至不给你改 my.cnf 的权限，这条路直接走不通。
从库连不上还有哪些常见漏点
即使主库改了，从库仍报错，大概率是这些地方没对齐：
- 从库
CHANGE REPLICATION SOURCE TO（或旧语法CHANGE MASTER TO）里写的SOURCE_USER（或MASTER_USER）和主库上实际修改的用户名+host 不一致 - 主库有多个同名用户（比如
repl_user@'192.168.10.%' 和repl_user@'%'），只改了一个，连接时命中了另一个 - 某些 Docker 镜像或嵌入式 MySQL 客户端不支持
caching_sha2_password插件加载，降级为mysql_native_password是唯一可行路径 - 应用层连接池（如 HikariCP）缓存了旧连接，需重启应用或清空连接池
最易被忽略的是 host 匹配粒度和密码重填强制性——少一个单引号、多一个空格、漏掉 BY 子句，都会让 ALTER USER 表面成功实则失效。
