MySQL validate_password 密碼強度插件安裝配置與最佳實踐

MySQL validate_password 密碼強度插件安裝配置與最佳實踐

MySQL 5.5+ 引入 validate_password 插件，強制執行密碼複雜度策略，防止弱密碼導致暴力破解、憑證填充攻擊。本文詳解插件安裝、參數配置、策略等級、字典文件、測試驗證及生產環境部署建議。

一、插件安裝與啟用

1.1 配置文件方式 (永久生效、推薦生產)

# my.cnf / my.ini [mysqld] 區塊
[mysqld]
plugin-load=validate_password.so
validate-password=FORCE_PLUS_PERMANENT  # 強制載入，防止運行時卸載

# 可選：預設策略參數 (也可運行時動態調整)
validate_password_policy=MEDIUM
validate_password_length=12
validate_password_mixed_case_count=1
validate_password_number_count=1
validate_password_special_char_count=1

關鍵參數說明：

• plugin-load：啟動時載入插件庫文件
• validate-password=FORCE_PLUS_PERMANENT：強制永久載入，即使 UNINSTALL PLUGIN 也無法卸載，防止惡意/誤操作降級安全策略
• 其他選項：ON (可卸載)、OFF (不載入)、FORCE (強制載入失敗則啟動中止)

1.2 運行時動態安裝 (臨時測試、無權限改配置)

SHOW VARIABLES LIKE 'validate_password%';

2.1 三大策略等級對比

2.2 字典文件製作

# my.cnf 生產建議
[mysqld]
plugin-load=validate_password.so
validate-password=FORCE_PLUS_PERMANENT
validate_password_policy=MEDIUM
validate_password_length=12
validate_password_mixed_case_count=1
validate_password_number_count=1
validate_password_special_char_count=1
# validate_password_dictionary_file=/etc/mysql/password_dictionary.txt  # 核心賬號啟用 STRONG 時配置

4.3 兼容性處理

現有弱密碼用戶： 插件啟用後不影響現有密碼，下次修改密碼時生效
應用程序連接池密碼： 預先生成符合策略的高強度密碼，統一變更
舊版本應用不支持特殊字符： 可暫時降低 special_char_count=0，並行改造應用
GRANT ... IDENTIFIED BY 'weak' 會報錯，需先 CREATE USER 再 GRANT


4.4 監控與審計
版本插件名庫文件備註
5.5 - 5.6validate_passwordvalidate_password.so需手動安裝、配置
5.7validate_passwordvalidate_password.so默認隨服務器編譯，默認未啟用
8.0validate_passwordvalidate_password.so組件化架構: INSTALL COMPONENT 'file://component_validate_password'；validate_password.policy 參數名微調


六、總結
validate_password 是 MySQL 內建的「零成本」安全基線，強烈建議所有生產環境啟用。核心動作：

配置文件添加 plugin-load + FORCE_PLUS_PERMANENT
設置 MEDIUM 策略 + length≥12
核心賬號啟用 STRONG + 企業字典
結合 PASSWORD EXPIRE INTERVAL 90 DAY + ACCOUNT LOCK 構建完整賬號生命週期管理