答案是需用sudo mysql进入后执行ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY '新密码'切换认证插件。Ubuntu/Debian默认将root@localhost设为auth_socket插件，不验证密码而依赖系统用户身份，导致mysql -u root -p报Access denied；必须显式指定@'localhost'并用ALTER USER修改，不可UPDATE表。
直接改单个用户的 plugin 字段最可靠，default_authentication_plugin 只影响新用户，且云数据库通常不让你动。
查清楚你连的是哪个 user@host
MySQL 把 'root'@'localhost'、'root'@'127.0.0.1'、'root'@'%' 当成三个完全独立的用户。Navicat 默认连 127.0.0.1，不是 localhost；命令行用 mysql -h localhost 时可能走 socket，而 -h 127.0.0.1 才走 TCP。不匹配就白改。
登录 MySQL 后执行：
SELECT user, host, plugin FROM mysql.user WHERE user = 'root';看哪一行的
plugin 是 caching_sha2_password，再对应改那一行的 host。
用 ALTER USER 切换插件必须带密码
ALTER USER 不保留原密码，漏掉 BY 'xxx' 就会清空密码，账户立刻锁死。
- 改本地 socket 连接：
ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'your_pass'; - 改 TCP 本地连接（Navicat 常见）：
ALTER USER 'root'@'127.0.0.1' IDENTIFIED WITH mysql_native_password BY 'your_pass'; - 改远程连接：
ALTER USER 'root'@'%' IDENTIFIED WITH mysql_native_password BY 'your_pass'; - 改完立刻执行：
FLUSH PRIVILEGES;——MySQL 8.0.23 之前版本不刷就不生效
default_authentication_plugin 配置只对新用户生效
在 /etc/mysql/mysql.conf.d/mysqld.cnf 的 [mysqld] 段加：
default_authentication_plugin = mysql_native_password然后
sudo systemctl restart mysql，但这不会把已存在的 root 或 app_user 的 plugin 改过来。它只管后续 CREATE USER 的人。
云数据库（阿里云 RDS、腾讯云 CDB）基本禁止写这个文件，这条路在生产环境大概率走不通。
客户端侧容易忽略的细节
服务端改完，客户端未必立刻连上：
- Navicat / Workbench 会缓存握手参数，必须**完全退出再重开**，不能只点“重连”
- 密码含
@、/、:等字符，在 JDBC URL 里会被解析错，得做 URL 编码 -
~/.my.cnf里加[client] default_authentication_plugin = mysql_native_password只影响mysql命令行工具，对 Java/Python 应用无效 - 某些 Ubuntu 22.04 安装的 MySQL 8.0 实际用的是
auth_socket插件，ALTER USER会报Unknown column 'password'，得先用sudo mysql登录再操作
真正要命的不是插件切换本身，而是 host 匹配错、密码没重设、权限没刷、客户端没重启这四点——它们比改配置更容易导致失败。
