MySQL 密码强度评分为什么不等于账号已通过认证

MySQL 密码强度评分不等于账号已经通过认证。VALIDATE_PASSWORD_STRENGTH() 只是把候选密码映射为 0 到 100 的整数；validate_password 组件则在部分密码管理语句中按策略拒绝弱密码；真正登录时，还要匹配准确的 user@host、认证插件和提交的凭据。把这三层混成一个“通过/失败”结论，就会出现“评分很高却登录不了”或“密码设置成功却连接失败”的误判。

本文限定 MySQL 8.4 的官方密码验证组件，示例只展示排查思路，不把未在本文环境执行的 SQL 输出写成实测回执。

官方地址：https://dev.mysql.com/doc/refman/8.4/en/validate-password.html

先拆开三个不同问题

第一层是候选密码的评分：函数接收一个密码字符串，返回 0 到 100 的强度整数。第二层是密码管理：组件会检查明文密码是否满足当前策略，典型语句包括 CREATE USER、ALTER USER 和 SET PASSWORD。第三层才是连接认证，它关心账号匹配、认证插件以及客户端提交的凭据。

因此，评分为 100 只能说明这个字符串在评分函数的规则下得到较高分；它不会替你选择账号，也不会授予权限，更不会证明某个客户端已经完成握手。反过来，密码设置语句成功，也只说明这次密码变更通过了它适用的检查，不等于所有连接参数都正确。

先确认实例是否真的安装了验证组件

排查“为什么弱密码也能写入”时，第一项不是重新计算分数，而是确认组件和变量。官方说明指出，组件未安装时，validate_password.* 变量不可用，评分函数会一直返回 0，密码语句也不会接受该组件的策略检查。

-- 先看组件是否存在；结果只用于判断实例状态，不代表登录结果
SELECT COMPONENT_URN
FROM mysql.component
WHERE COMPONENT_URN LIKE '%validate_password%';

-- 查看当前策略相关变量；变量名不可写成不存在的自定义别名
SHOW VARIABLES LIKE 'validate_password%';

如果这里没有组件记录，先不要拿评分函数和账号认证作比较。若组件存在，再记录 validate_password.policy、validate_password.length、validate_password.number_count、validate_password.mixed_case_count、validate_password.special_char_count 和 validate_password.check_user_name 的实际值。默认策略描述不能替代当前实例的变量值。

用评分函数判断候选密码，不判断账号状态

评分适合放在注册表单或运维排查的“候选密码信息”位置，但不应当被当成认证 API。下面的查询只是在数据库中请求一个数值：

-- 评分函数返回 0 到 100 的整数；不要把该整数当作授权结果
SELECT VALIDATE_PASSWORD_STRENGTH('Example$_2026!') AS strength_score;

-- 另一个候选值用于对比；示例密码不要直接用于生产账号
SELECT VALIDATE_PASSWORD_STRENGTH('short') AS strength_score;

两个返回值即使不同，也不能推出“分数高的账号一定能登录”。函数不读取某个账号的登录会话，不验证账号是否存在，也不检查客户端连接到的是哪一个主机来源。

把密码设置成功和登录认证分开检查

当你要判断策略是否生效，应看密码管理语句本身的响应。例如下面的语句表达的是“给指定账号设置密码”，不是“模拟一次客户端登录”。

-- 明确账号的 host 部分，避免把同名账号当成同一个账号
ALTER USER 'report_reader'@'localhost'
  IDENTIFIED BY 'Example$_2026!';

-- 创建账号时同时给出密码；弱密码可能被当前策略拒绝
CREATE USER 'report_reader'@'10.%'
  IDENTIFIED BY 'Example$_2026!';

如果返回 ER_NOT_VALID_PASSWORD，结论是这次明文密码没有满足当前策略；如果返回成功，结论也只到“密码设置语句成功”。随后连接还要使用正确的用户名、密码、主机名、端口和认证插件。特别要注意 'report_reader'@'localhost' 与 'report_reader'@'10.%' 是不同的账号匹配范围。

如果账号使用的是由外部凭据系统处理认证的插件，官方文档说明密码管理也应在该外部系统完成；VALIDATE_PASSWORD_STRENGTH() 仍可作为不直接修改账号的独立评分函数使用。

按证据完成反向确认

遇到“评分高但登录失败”，按下面的证据顺序缩小范围：先确认连接目标实例，再确认精确的 user@host；然后查看该账号采用的认证插件和客户端支持情况；最后才把密码策略或评分作为候选密码问题处理。不要用“分数高”覆盖认证失败的原始错误。

为什么评分函数返回 0？

先确认组件是否安装。官方手册说明组件未安装时该函数始终返回 0；不能把这个 0 解读成“当前账号密码强度为零”。

密码策略检查和登录认证是同一件事吗？

不是。前者约束密码被创建或修改时是否满足规则，后者验证连接请求是否匹配某个账号及其认证方式。

最小排查清单是什么？

记录目标实例、完整的 user@host、验证组件状态、策略变量、密码设置语句响应、认证插件和原始连接错误。只有这些证据都对应上，才适合判断是策略问题还是认证配置问题。

记住一个边界即可：VALIDATE_PASSWORD_STRENGTH() 给分数，validate_password 约束部分密码管理语句，认证插件处理账号登录。三者分别回答“这个字符串看起来多强”“这次密码变更是否符合策略”“这次连接能否认证”，不要用其中一个结果替代另外两个。