MySQL本身不支持真正的双因素认证（2FA），必须依赖外部系统（如PAM+Google Authenticator）实现，要求版本≥8.0.27、正确安装authentication_policy和authentication_pam插件、严格匹配PAM service名，并确保mysql进程以root运行且系统用户配置正确。
MySQL 本身不支持真正的双重身份验证（2FA），所谓“启用 2FA”实际是把第二因子校验委托给外部系统完成——没配对 PAM service 名、没装 authentication_policy 插件、或版本低于 8.0.27，REQUIRE MULTIFACTOR 就会静默失效或直接报 Access denied。
确认 MySQL 版本与 authentication_policy 是否可用
低于 8.0.27 的版本根本不识别 REQUIRE MULTIFACTOR 语法，执行会报错 Unknown syntax 或降级为单因素登录。
- 运行
SELECT VERSION();，确保返回 ≥8.0.27 - 执行
SHOW PLUGINS;，检查authentication_policy状态是否为ACTIVE - 若未加载，需手动安装：
INSTALL PLUGIN authentication_policy SONAME 'authentication_policy.so';（Linux）
authentication_policy 本身不做验证，只负责调度多个认证方法——它不是验证器，是路由开关。
用 PAM + Google Authenticator 实现 TOTP 类双因素
这是目前 Linux 上最稳定、可落地的方案：MySQL 仅转发请求，校验完全由系统 pam_google_authenticator.so 完成。
- 安装系统依赖：
apt install libpam-google-authenticator（Ubuntu/Debian）或yum install google-authenticator（RHEL/CentOS） - 为
MySQL运行用户（通常是mysql）生成密钥：sudo -u mysql google-authenticator -t -d -f -r 3 -R 30 -w 3，保存密钥和备用码 - 创建
/etc/pam.d/mysql，内容必须包含两行（顺序不能反）：auth [success=ok default=bad] pam_unix.soauth [success=ok default=bad] pam_google_authenticator.so secret=/var/lib/mysql-pam/%u.google_authenticator - 安装插件：
INSTALL PLUGIN authentication_pam SONAME 'auth_pam.so';（注意部分发行版插件名是authentication_pam.so） - 创建用户时绑定 PAM service 名：
CREATE USER 'mfa_user'@'%' IDENTIFIED WITH authentication_pam AS 'mysql';（'mysql'必须和 PAM 文件名一致） - 客户端连接必须启用明文插件：
mysql -u mfa_user -p --default-auth=mysql_clear_password，否则握手失败
为什么 CREATE USER 总报 Plugin 'authentication_pam' is not loaded
这不是插件没装，而是用户创建语法和底层配置没对齐。
-
CREATE USER语句中的AS 'mysql'必须严格匹配/etc/pam.d/mysql文件名 - 如果 PAM 配置文件叫
/etc/pam.d/mysqld，那这里就必须写AS 'mysqld' - 用 PAM 认证的用户，
SET PASSWORD无效；也不能再设IDENTIFIED BY，否则会覆盖认证方式 -
mysql进程需以root启动（否则无法调用 PAM 的特权模块） - 对应系统用户必须存在，且
.google_authenticator文件属主、权限（600）必须正确
社区版无法使用 authentication_ldap_sasl 插件
authentication_ldap_sasl 和 authentication_ldap_simple 插件只在 MySQL Enterprise Edition 中可用。如果你用的是官方社区二进制包，SHOW PLUGINS; 里根本找不到它们。
- 强行执行
INSTALL PLUGIN authentication_ldap_sasl SONAME 'authentication_ldap_sasl.so';会报错Plugin 'authentication_ldap_sasl' is not loaded或提示文件不存在 - 社区版唯一能落地 2FA 的路径是 PAM 链路：让
pam_sss.so连 LDAP，再链式调用pam_google_authenticator.so校验 TOTP - 这意味着你得在系统层配置好 PAM 的多模块顺序，MySQL 只做协议转发
真正需要第二因子时，必须引入外部系统（PAM、LDAP、ProxySQL 插件或云服务商的 IAM 集成）。MySQL 的权限模型和认证扩展点有限，强行在服务端打补丁容易破坏升级路径——最稳的方式是把 2FA 拆到网络层或系统层，让 MySQL 专注做它擅长的事：基于已认证身份做细粒度授权。
