技术译文 | MySQL 8.0.34 在密码管理上的改进

作者：Sri Sakthivel

本文来源：Percona 官网博客

* 爱可生开源社区出品。

MySQL 8.0.34[1] 为我们带来了新的密码验证参数 validate_password.changed_characters_percentage
。使用此功能，我们可以控制在 validate_password
接受用户帐户的新密码之前用户必须更改的密码中的最小字符数。本文中，提供了一些场景，展示了参数 validate_password.changed_characters_percentage
如何影响用户密码更改。

1要求

为了实现这一点，我们应该启用“密码验证策略”（在 MySQL 8.0.13 中引入）。我们可以通过使用参数 password_require_current
或在创建或更改用户时指定 PASSWORD REQUIRE CURRENT
来全局允许它。Brain Sumpter 在他的文章 MySQL 8：密码验证策略[2] 中已经很好地解释了这个主题。我建议您阅读它以了解有关“密码验证策略”的更多信息。就我而言，我只是启用了参数 password_require_current
来全局强制执行“密码验证策略”。

percona labs MySQL 8.0.34 > set persist password_require_current = 1;
Query OK, 0 rows affected (0.05 sec)
 
percona labs MySQL 8.0.34 > select @@password_require_current;
+-----------------------------------+
| @@password_require_current |
+-----------------------------------+
|                          1 |
+-----------------------------------+
1 row in set (0.00 sec)


一旦我们启用 password_require_corrent
选项，我们应该在 REPLACE 子句中提供旧密码。否则，它将不允许更改密码。将收到以下错误：

percona labs MySQL 8.0.34 > alter user 'test'@'localhost' identified by 'Test@321';
ERROR 3892 (HY000): Current password needs to be specified in the REPLACE clause in order to change it.


注意：对系统数据库  mysql
 库具有全局 CREATE USER 和 UPDATE 权限的用户仍然可以更改密码，而无需指定当前密码。

2创建测试环境

在测试服务器中安装了 MySQL 8.0.34 版本，并安装了 validate_password
组件。

percona labs MySQL 8.0.34 > select @@version, @@version_comment;
+-------------+--------------------------------------+
| @@version | @@version_comment            |
+-------------+--------------------------------------+
| 8.0.34    | MySQL Community Server - GPL |
+-------------+--------------------------------------+
1 row in set (0.00 sec)
 
percona labs MySQL 8.0.34 > INSTALL COMPONENT 'file://component_validate_password';
Query OK, 0 rows affected (0.00 sec)
 
percona labs MySQL 8.0.34 > select @@validate_password.changed_characters_percentage;
+----------------------------------------------------------------+
| @@validate_password.changed_characters_percentage |
+----------------------------------------------------------------+
|                                                 0 |
+----------------------------------------------------------------+
1 row in set (0.00 sec)


我建议安装 validate_password
组件 而不是 validate_password
插件（已弃用）。将其安装为插件时您可能看不到此功能。

3测试

已将 changed_characters_percentage
值设置为 50。这意味着每当用户尝试重置密码时，新密码不应包含任何旧字符的 50%。

percona labs MySQL 8.0.34 > set global validate_password.changed_characters_percentage=50;
Query OK, 0 rows affected (0.00 sec)
 
percona labs MySQL 8.0.34 > select @@validate_password.changed_characters_percentage;
+----------------------------------------------------------------+
| @@validate_password.changed_characters_percentage |
+----------------------------------------------------------------+
|                                                50 |
+----------------------------------------------------------------+
1 row in set (0.00 sec)


然后，我创建了用户 percona1
，密码为 Percona@321
。

percona labs MySQL 8.0.34 > create user 'percona1'@'localhost' identified by 'Percona@321';
Query OK, 0 rows affected (0.00 sec)
 
percona labs MySQL 8.0.34 > grant select on *.* to 'percona1'@'localhost';
Query OK, 0 rows affected (0.00 sec)
 
percona labs MySQL 8.0.34 > flush privileges;
Query OK, 0 rows affected (0.01 sec)


现在，让我们尝试将密码更改为 Percona@567
。

percona labs MySQL 8.0.34 > select user();
+-------------------------+
| user()             |
+-------------------------+
| percona1@localhost |
+-------------------------+
1 row in set (0.00 sec)
 
percona labs MySQL 8.0.34 > alter user percona1@localhost identified by 'Percona@567' replace 'Percona@321';
ERROR 4165 (HY000): The new password must have at least '5' characters that are different from the old password. It has only '3' character(s) different. For this comparison, uppercase letters and lowercase letters are considered to be equal.


它不允许我将密码从 Percona@321
更改为 Percona@567
，并且该错误非常清楚地解释了情况。我的密码有 11 个字符，而我的新密码只有三个字符差异（Percona@321
到 Percona@567
）。根据我的 changed_characters_percentage
值，新密码应包含 50% 的新字符。这意味着我的新密码应至少包含五个不同的字符。因此，新密码不符合要求。

现在，让我们尝试使用另一个新密码 Percona %#567
。它与之前的密码有五个不同的字符。

percona labs MySQL 8.0.34 > alter user percona1@localhost identified by 'Percona%#567' replace 'Percona@321';
Query OK, 0 rows affected (0.01 sec)


只要满足要求就可以正常工作！

4它如何处理大小写字母？

为了解释这种情况，我创建了另一个用户 percona2
，密码为 PERCONa@321
。

percona labs MySQL 8.0.34 > create user 'percona2'@'localhost' identified by 'PERCONa@321';
Query OK, 0 rows affected (0.00 sec)


密码有 11 个字符。因此，我们必须在新密码中至少更改五个字符。我会将密码从 PERCONa@321
更新为 perconA@321
。在本例中，我将更改大小写和小写的七个字符。

percona labs MySQL 8.0.34 > alter user percona2@localhost identified by 'perconA@321' replace 'PERCONa@321';
ERROR 4165 (HY000): The new password must have at least '5' characters that are different from the old password. It has only '0' character(s) different. For this comparison, uppercase letters and lowercase letters are considered to be equal.


不工作。它无法更改，因为大写字母和小写字母被视为相同。

5如何处理不同的字符数？

为了测试这个场景，我创建了一个用户 percona3
，密码为 Percona@321
。我们可以测试以下场景。

• 更多现有角色
• 更多不存在的角色

更多现有角色

为了测试这一点，我将密码从 Percona@321
更改为 Percona@3213333333
。（只需在现有密码中添加七个“3”字符即可）。

percona labs MySQL 8.0.34 > select user();
+--------------------+
| user()             |
+--------------------+
| percona3@localhost |
+--------------------+
1 row in set (0.00 sec)
 
percona labs MySQL 8.0.34 > alter user percona3@localhost identified by 'Percona@3213333333' replace 'Percona@321';
ERROR 4165 (HY000): The new password must have at least '5' characters that are different from the old password. It has only '0' character(s) different. For this comparison, uppercase letters and lowercase letters are considered to be equal.


该错误报告“0”个字符差异，因为我们在密码中添加了七个新字符。但是，字符（3）已经存在于密码 Percona@3213333333
中。在这种情况下，这是不可接受的。

更多不存在的角色

为了测试这一点，我现在将密码从 Percona@321
更改为 Percona@3214455667788
。因此，在本例中，我将向现有密码添加十个新字符。但是，我有五个不存在的字符（4,5,6,7,8）。


percona labs MySQL 8.0.34 > alter user percona3@localhost identified by 'Percona@3214455667788' replace 'Percona@321';
Query OK, 0 rows affected (0.01 sec)


有用！

所以，从上面两个例子来看，密码长度可能会有所不同。但是，它应该满足更改字符的百分比。

6结论

MySQL 8.0 有很多关于安全方面改进和新功能，我想说这个功能非常好，可以改进密码验证并在更改用户密码时增加更多安全性。

参考资料

[1]

A quick peek at mysql 8.0.34 and mysql 8.1.0: https://www.percona.com/blog/a-quick-peek-at-mysql-8-0-34-and-mysql-8-1-0/

[2]

MySQL 8: Password Verification Policy: https://www.percona.com/blog/mysql-8-password-verification-policy/#:~:text=Password%2Dverification%20policy%20can%20be,USER%20and%20ALTER%20USER%20statements.

本文原文：https://www.percona.com/blog/mysql-8-0-34-improved-password-management-by-defining-the-change-characters-count/

本文关键字：#MySQL# #新特性# #翻译#

阅读推荐

技术译文 | 一文了解 MySQL 全新版本模型

技术译文 | 那些 MySQL 8.0 中的隐藏特性

技术译文 | XtarBackup 8.0.33-28 Prepare 速度提升 20 倍！

故障分析 | MySQL：我的从库竟是我自己！？

故障分析 | 一个 Kill 不掉的 MySQL 会话

故障分析 | MySQL 升级到 8.0 变慢问题分析

技术分享 | 一招解决 MySQL 中 DDL 被阻塞的问题

DTCC 第十四届中国数据库技术大会 

2023年8月16日~18日，由IT168联合旗下ITPUB、ChinaUnix两大技术社区主办的第14届中国数据库技术大会（DTCC2023）将在北京国际会议中心隆重召开。

大会以“数智赋能 共筑未来”为主题，紧跟时代步伐，引领前沿技术，设置2大主会场，20+技术专场，将邀请超百位行业专家，重点围绕数据库内核解析，向量数据库、图数据技术、云原生数据库、实时数仓等内容展开分享和探讨，为广大数据领域从业人士提供一场年度的饕餮盛宴。

来自爱可生的向量数据库研发经理-苏鹏，将在 时序数据库与向量数据库 专场带来题为《TensorDB 在 DB 领域的应用，构建数据库交互新范式》的演讲。

欢迎大家莅临爱可生展台，就 TensorDB 及其他数据库技术与爱可生研发团队进行交流，参与展台活动。

ACDU 中国行 杭州站

8月19日，由中国数据库联盟、墨天轮社区联合举办的【ACDU中国行】第二站将在杭州举办，内容涵盖 OceanBase、PG、AntDB、MySQL 和 Oracle 等数据库内核特性、运维实践与发展机遇等，现场将送出签到即领的精美伴手礼和多轮抽奖，欢迎大家报名参与！扫描图中二维码或点击链接均可报名：https://www.modb.pro/event/842

关于 SQLE

SQLE 是一款面向数据库使用者和管理者，支持多场景审核，支持标准化上线流程，原生支持 MySQL 审核且数据库类型可扩展的 SQL 审核工具。目前支持各种数据库规则 700+。

SQLE 获取

🔗 Github https://github.com/actiontech/sqle

📚 文档 https://actiontech.github.io/sqle-docs/

💻 官网 https://opensource.actionsky.com/sqle/

👥 微信技术交流群：添加管理员微信 ActionOpenSource