能用，但仅限开发或内网测试环境；该参数绕过安全限制使客户端主动请求RSA公钥以支持caching_sha2_password认证，必须搭配useSSL=false使用，否则无效，且存在中间人截获密码风险，生产环境严禁启用。
allowPublicKeyRetrieval=true 能用吗？
能用，但只该用在开发或内网测试环境。这个参数本质是绕过驱动对公钥获取的安全限制，让客户端主动向 MySQL 服务器请求 caching_sha2_password 认证所需的 RSA 公钥。它不是“修复”，而是“妥协”。
常见错误现象：java.sql.SQLNonTransientConnectionException: Public Key Retrieval is not allowed 或 DataGrip/DBeaver 弹窗报错。
-
allowPublicKeyRetrieval=true必须搭配useSSL=false才生效（否则服务器不走 RSA 加密路径） - JDBC URL 示例：
jdbc:mysql://localhost:3306/test?useSSL=false&allowPublicKeyRetrieval=true&serverTimezone=UTC - PyMySQL 连接时需显式传参：
connect(..., auth_plugin='mysql_native_password')或升级到 1.1.0+ 并加ssl_disabled=True - 该组合会暴露密码明文风险：中间人可截获公钥后解密传输的密码——生产环境禁用
怎么把用户改成 mysql_native_password？
这是兼容性最强、也最稳妥的方案，尤其适合老项目或无法升级驱动的场景。核心是让 MySQL 用户放弃 caching_sha2_password，退回旧认证插件。
操作前确认：你有 root 或具备 ALTER USER 权限的账号，并能直连 MySQL 命令行。
- 登录 MySQL：
mysql -u root -p - 执行修改（以用户
appuser为例）：ALTER USER 'appuser'@'%' IDENTIFIED WITH mysql_native_password BY 'your_new_password'; - 刷新权限：
FLUSH PRIVILEGES; - 验证插件是否变更：
SELECT user, host, plugin FROM mysql.user WHERE user = 'appuser';—— 结果中plugin字段应为mysql_native_password
注意：修改后所有使用该用户的客户端都不再需要 allowPublicKeyRetrieval，也不再依赖 SSL 或公钥交换。
Connector/J 驱动版本影响有多大？
影响非常直接。MySQL 官方从 8.0.9 版本起才完整支持 caching_sha2_password 的自动公钥协商。低于此版本的驱动（比如常见的 5.1.49、8.0.4）根本无法正确握手，报错是必然结果。
- 检查当前驱动版本：查看项目
pom.xml中mysql-connector-java的<version>，或运行时打印Driver.getMajorVersion() - 推荐升级到
8.0.33+（2026 年稳定版），它默认启用安全公钥缓存，且支持allowPublicKeyRetrieval=false场景下的 TLS fallback - 若用 Spring Boot 3.x，默认带
8.0.33；Spring Boot 2.7.x 默认仍是8.0.28，建议手动覆盖 - 升级后仍报错？检查是否误配了
useSSL=true但服务端未开 TLS——此时应配useSSL=false或配置真实证书
为什么 DataGrip / DBeaver 里加参数总不生效？
因为这些工具的连接参数入口不止一处，容易漏填或填错位置。它们底层都调用 JDBC，但 UI 层做了封装，参数必须落在真正被驱动读取的位置。
- DataGrip：进入数据源编辑 → “Advanced” 标签页 → 在空白处新增两行：
allowPublicKeyRetrieval=true，useSSL=false（不要写在 JDBC URL 里） - DBeaver：编辑连接 → “Driver properties” → 点“+”添加键值对，同样填
allowPublicKeyRetrieval和useSSL - Navicat：连接属性 → “高级” → 勾选“使用旧版认证”（本质就是强制走
mysql_native_password） - 切忌在 URL 里拼写错误：& 符号必须是
&（XML/HTML 转义），否则整个参数被忽略
最易被忽略的是：改完参数必须点“Test Connection”或“OK”保存，且重启连接窗口——很多工具不会热加载参数。
