批量锁定离职账号必须用ALTER USER逐条执行，UPDATE mysql.user表无效；需指定完整User@Host，不支持通配符匹配；应通过SELECT拼接语句生成、实测登录或查account_locked字段验证是否真锁定。
批量锁定离职人员账号必须用 ALTER USER，不能靠 UPDATE mysql.user
直接改 mysql.user 表的 account_locked 字段是无效操作——MySQL 不会同步内部状态，重启或权限刷新后会被覆盖。唯一可靠方式是逐条执行 ALTER USER 'u'@'h' ACCOUNT LOCK。
常见错误：写成 UPDATE mysql.user SET account_locked = 'Y' → 看似字段变了，但新连接仍能成功登录。
- 必须指定完整账号，包括
User和Host，比如'alice'@'10.20.30.%'，不能只写'alice'（报错ERROR 1396） - 通配符
%在Host部分合法，但在ALTER USER语句里不支持模式匹配，'%'@'%'是语法错误 - 若账号不存在，
ALTER USER直接报错，不会跳过；建议先用SELECT User, Host FROM mysql.user确认名单
怎么生成安全可用的批量锁定语句
别手写几十条 ALTER USER，用 SELECT 拼接更可靠：
SELECT CONCAT('ALTER USER `', User, '`@`', Host, '` ACCOUNT LOCK;')
FROM mysql.user
WHERE User IN ('alice', 'bob', 'charlie');注意点：
-
CONCAT中的反引号`必须包裹User和Host，否则含特殊字符（如连字符、点号）的账号会语法错误 - 如果离职名单来自 HR 系统导出 CSV，先用文本工具转成单引号括起来的字符串列表，再塞进
IN子句 - 执行前务必备份元数据：
mysqldump -u root -p --no-data mysql user > user_meta_backup_$(date +%F).sql
锁定后应用报错不是密码错，而是连接被拒
账号锁住后，客户端首次重连会立刻失败，典型错误是：
- MySQL 8.0.14+：
ERROR 3097 (HY000): Account is locked - 老版本（5.7.6+）：
ERROR 1045 (28000): Access denied for user 'u'@'h'—— 和输错密码一模一样，无法靠错误码区分
关键验证方式只有两个：
- 用该账号实测登录：
mysql -u alice -p -h your-db，输任意密码都应拒绝 - 查表确认：
SELECT User, Host, account_locked FROM mysql.user WHERE User = 'alice';，返回account_locked = 'Y'才算真锁住
离职账号常混着密码过期，解锁时容易卡住
执行 ALTER USER 'alice'@'%' ACCOUNT UNLOCK 报 ERROR 3022？说明账号同时处于密码过期状态，这是两个独立开关。
必须先处理密码策略：
ALTER USER 'alice'@'%' IDENTIFIED BY 'temp123!' PASSWORD EXPIRE NEVER;
-
PASSWORD EXPIRE NEVER必须显式加上，否则即使设了新密码，下次登录仍可能触发过期流程 - MySQL 8.0 默认启用密码历史检查，新密码不能太像旧密码（如仅改末尾数字），否则报
ERROR 1819 - 已锁定账号的
password_expired字段仍为'Y'，不影响锁定状态，但会阻碍解锁流程
真正麻烦的不是锁，而是没提前清理权限依赖——比如某个视图 DEFINER = 'alice'@'%'，锁住后仍可被调用；这类隐性依赖得靠 SELECT * FROM information_schema.VIEWS WHERE DEFINER LIKE '%alice%' 主动扫一遍。
