Mysql8.0双密码策略

Mysql8.0双密码策略 

首先来解释下什么是双密码策略？双密码策略就是在日常运维中，需要定期更改指定用户密码，同时又需要旧密码暂时保留一定时长的一种策略。其作用是延迟应用与数据库之间的用户新旧密码对接时间，进而平滑应用的操作感知。可以在如下场景中使用：

在 MySQL 数据库里我们部署最多也是最成熟的架构：一主多从。比如说此架构做了读写分离，主负责处理前端的写流量，读负责处理前端的读流量，为了安全起见，需要定期对应用连接数据库的用户更改密码。有了双密码机制，对用户密码的更改在应用端可以有一定的缓冲延迟，避免业务中断风险以及开发人员的抱怨。应用端依然可以使用旧密码来完成对数据库的检索，等待合适时机再使用管理员发来的新密码检索数据库。双密码机制包含主密码与备密码，当备密码不再使用时，告知管理员丢弃备密码，此时用户的主密码即是唯一密码。具体如何使用呢？用法如下：

管理员先创建一个新用户 ytt ，密码是 root_old ，完了更改他的密码为 root_new 。此时 root_new 即为主密码，而 root_old 即为备密码。

mysql:(none)>create user ytt identified by 'root_old';
Query OK, 0 rows affected, 2 warnings (0.24 sec)

mysql:(none)>alter user ytt identified by 'root_new' retain current password;
Query OK, 0 rows affected (0.17 sec)


接下来用户 ytt 分别使用备密码与主密码连接 MySQL 并且执行一条简单的 SQL 语句：

备密码连接数据库：

root@ytt-ubuntu:/home/ytt# mysql -h ytt-ubuntu -P 3306 -uytt -proot_old -e "select 'hello world'"
mysql: [Warning] Using a password on the command line interface can be insecure.
+-------------+
| hello world |
+-------------+
| hello world |
+-------------+


主密码连接数据库：

root@ytt-ubuntu:/home/ytt# mysql -h ytt-ubuntu -P 3306 -uytt -proot_new -e "select 'hello world'"
mysql: [Warning] Using a password on the command line interface can be insecure.
+-------------+
| hello world |
+-------------+
| hello world |
+-------------+


可以发现在管理员没有丢弃旧密码前，两个密码都能正常使用。

相关业务更改完成后，即可告知管理员丢弃备密码：

root@ytt-ubuntu:/home/ytt# mysql -S /opt/mysql/mysqld.sock
Welcome to the MySQL monitor. Commands end with ; or \g.
Your MySQL connection id is 27
Server version: 8.0.27 MySQL Community Server - GPL

mysql:(none)>\q
Bye