MySQL 8.0 默认使用 caching_sha2_password 是因 SHA-1 已被 NIST 强制弃用，该插件基于 SHA-256 和 RSA 加密提升安全性；连接失败主因是旧客户端不支持该协议，需通过 SELECT 确认用户 plugin 值，再用 ALTER USER 切换为 mysql_native_password 并 FLUSH PRIVILEGES。
MySQL 8.0 默认用 caching_sha2_password，不是为了“换着玩”，而是 mysql_native_password 底层依赖 SHA1 —— 这个算法在 2026 年已被 NIST 强制弃用，碰撞攻击已可复现。你遇到的连接失败，大概率不是配置错了，是客户端压根没走对认证路径。
Connection refused? 先查 plugin 实际值，别猜
很多问题卡在第一步：你以为用户用了 caching_sha2_password，其实它根本没生效，或者你查的是错的账号。
-
SELECT user, host, plugin FROM mysql.user;—— 必须执行这句，确认目标账号（比如'root'@'localhost'）当前插件名，注意host要完全匹配（'%'和'localhost'是不同账号） - 错误现象：
Plugin caching_sha2_password could not be loaded或Authentication plugin 'caching_sha2_password' cannot be loaded，基本等于客户端不支持该插件，不是密码错 - 常见误判：Navicat 报错后直接改配置文件，却忘了已有用户仍绑定旧插件；或只改了
'root'@'127.0.0.1'，漏掉'root'@'localhost'
ALTER USER 切插件，参数顺序和引号不能错
ALTER USER 语句看似简单，但 MySQL 8.0 对语法敏感度远高于 5.7，少个引号或顺序颠倒就会报错。
- 正确写法：
ALTER USER 'username'@'host' IDENTIFIED WITH mysql_native_password BY 'password';——WITH后是插件名（不用引号），BY后是密码（必须单引号） - 错误写法：
ALTER USER ... IDENTIFIED BY 'xxx' WITH mysql_native_password;（顺序错）、IDENTIFIED WITH 'mysql_native_password'（插件名加了引号） - 执行后必须跟
FLUSH PRIVILEGES;，否则变更不生效（尤其在非 root 用户下操作时容易忽略） - 如果提示
ERROR 1396 (HY000): Operation ALTER USER failed，大概率是host不匹配，或用户不存在，先用SELECT确认再操作
default_authentication_plugin 配置只影响新用户
想一劳永逸？编辑 /etc/my.cnf 加 default_authentication_plugin=mysql_native_password 没用——它只管后续 CREATE USER 的默认行为，对已有用户完全无效。
- 配置位置必须在
[mysqld]段下，且重启服务才生效：sudo systemctl restart mysqld（CentOS）或sudo systemctl restart mysql（Ubuntu） - 重启后新建用户（如
CREATE USER 'test'@'%' IDENTIFIED BY '123';）才会自动用mysql_native_password - 已有用户仍保持原插件，必须单独
ALTER USER，否则 Navicat、JDBC 还是连不上 - 若配置文件里已有
default_authentication_plugin行，直接改值即可，重复写会导致启动失败
JDBC/Python/ODBC 连不上，真凶常是驱动版本+参数组合
不是所有“不支持 caching_sha2_password”都是插件问题。很多情况是驱动版本够新，但少了关键连接参数。
- JDBC：用
mysql-connector-java 8.0.28+，URL 必须带allowPublicKeyRetrieval=true&useSSL=false（测试环境），生产环境应配 TLS - Python：
pymysql1.1.0+ 支持，但mysqlclient（基于 C API）至今（2026）仍不支持，只能切插件 - ODBC：Windows 上新版 MySQL ODBC 8.4 Driver 支持，但旧版（如 5.3）即使升级驱动也需在 DSN 中勾选 “Use Authentication Plugin” 并选
caching_sha2_password - Docker 场景：镜像内
mysql-client版本可能滞后（如 Ubuntu 20.04 自带 8.0.28），得换 base 镜像或手动升级 client lib
最易被忽略的点：caching_sha2_password 在无 SSL 时会触发 RSA 公钥交换流程，而很多老客户端连公钥请求包都解析不了 —— 这时候降级插件不是妥协，是绕过协议层不可修复的断点。
