MySQL 8.0.27+社区版需通过authentication_policy插件协同PAM（如pam_google_authenticator）实现TOTP双因子，依赖Linux系统、root启动、系统用户映射、/etc/pam.d/mysqld配置及客户端启用mysql_clear_password插件。
MySQL 8.0 社区版本身不支持原生双因子认证（2FA），所谓“配置双因子”实际是把第二因子验证委托给外部系统（如 Linux PAM 或 LDAP 后端）完成；低于 8.0.27 的版本连 REQUIRE MULTIFACTOR 语法都不识别，直接报错或静默降级为单因素。
确认 MySQL 版本与 authentication_policy 插件状态
这是最常被跳过的前置步骤，但一步错、全盘卡死：
- 运行
SELECT VERSION();，输出必须 ≥8.0.27；否则后续所有REQUIRE MULTIFACTOR语句都会触发ERROR 1064 (42000) - 执行
SHOW PLUGINS LIKE 'authentication_policy';，状态必须是ACTIVE；若未加载，需手动安装：INSTALL PLUGIN authentication_policy SONAME 'authentication_policy.so'; -
authentication_policy本身不做任何验证，它只是按顺序调用多个认证插件的“调度器”——没后续插件，REQUIRE MULTIFACTOR就是空转
用 authentication_pam + pam_google_authenticator 实现 TOTP 双因子
这是社区版唯一稳定落地的路径，但依赖三个硬性条件同时满足：
kashen-mysql DDLtoExcel
下载
解析 MySQL 8.0 的 DDL 脚本，并将表结构导出为 Excel 格式。适用于用户需将 MySQL 的 `CREATE TABLE` 语句转换为结构化的 Excel 文件场景，导出内容包含字段名、数据类型、长度及精度等信息。支持多张表的批量处理，每张表对应 Excel 中的一个独立工作表。适用于数据库文档编写、数据字典生成及模式分析等任务。
- 必须是 Linux 系统（Windows 不支持 PAM 链式认证）
- MySQL 进程必须以
root启动（否则pam_google_authenticator.so的特权逻辑无法加载） - MySQL 用户必须映射到真实系统用户（如
'alice'@'%'对应/etc/passwd中的alice账号） - 安装系统依赖：
apt install libpam-google-authenticator（Debian/Ubuntu）或yum install google-authenticator（RHEL/CentOS） - 为对应系统用户生成密钥：
sudo -u alice google-authenticator，保存备用码，密钥文件权限设为600，属主必须匹配 - 创建
/etc/pam.d/mysqld（注意不是mysql或mysqld_safe），内容严格两行（顺序不能反）：auth [success=ok default=bad] pam_unix.soauth [success=ok default=bad] pam_google_authenticator.so secret=/home/alice/.google_authenticator
创建用户时的语法与权限陷阱
写错一个字符就导致登录失败，且错误提示模糊（常为 Access denied 而非明确原因）：
- 正确写法：
CREATE USER 'alice'@'%' IDENTIFIED WITH authentication_pam AS 'mysqld';
其中'mysqld'必须与/etc/pam.d/mysqld文件名完全一致（大小写、下划线都不能差） - 绝对不能混用：
IDENTIFIED BY和IDENTIFIED WITH同时出现会覆盖认证方式，导致静默降级为密码认证或报错 - 客户端连接必须启用明文插件：
mysql -u alice -p --default-auth=mysql_clear_password，否则握手阶段就失败 -
SET PASSWORD对 PAM 用户无效；改密必须通过系统层（如passwd alice）或重跑google-authenticator
为什么不用 validate_password 或 REQUIRE SSL 代替 2FA
等保三级要求“两种及以上鉴别技术”，但这些方案不满足真正意义上的双因子：
-
validate_password只约束密码强度，无法防止凭证泄露后的单次登录——它仍是单因子（知识因子） -
caching_sha2_password + REQUIRE SSL是常见替代方案，但它本质是“密码 + 传输通道加密”，SSL 不是独立鉴别因子，测评时可能被认定为“单一技术叠加”而非双因子 -
authentication_fido插件虽存在，但仅支持 FIDO2 安全密钥，不兼容手机 App（如 Google Authenticator），且多数生产环境无硬件密钥基础设施
真正难的不是装插件，而是让 MySQL、PAM、系统用户、密钥文件、SELinux（如果启用）、客户端插件这五者在权限、路径、命名、启动身份上全部对齐；漏掉任意一环，用户就会被锁死，且没有回退提示。建议先用测试账号验证，同时保留至少一个 mysql_native_password 的管理员账号用于应急。
