MySQL8认证插件—Client-Side Cleartext Pluggable Authentication

系统管理员 2024-03-16 13:59 9阅读 0赞

## 目前MySQL认证插件种类有如下： ##

<table> 
 <tbody> 
 <tr> 
 <td> 插件 </td> 
 <td> 适用版本 </td> 
 <td> 说明 </td> 
 </tr> 
 <tr> 
 <td> Native Pluggable Authentication </td> 
 <td> </td> 
 <td> 基于本机密码哈希方法实现身份验证 </td> 
 </tr> 
 <tr> 
 <td> Caching SHA-2 Pluggable Authentication </td> 
 <td> </td> 
 <td> 实现SHA-256身份验证（如sha256_password），但在服务器端使用缓存 </td> 
 </tr> 
 <tr> 
 <td> SHA-256 Pluggable Authentication </td> 
 <td> </td> 
 <td> 基于本机使用SHA-256密码哈希执行身份验证 </td> 
 </tr> 
 <tr> 
 <td> Client-Side Cleartext Pluggable Authentication </td> 
 <td> </td> 
 <td> 客户端身份验证插件，可以让客户端将密码以明文形式发送到服务器，而不需要哈希或加密。这个插件内置在MySQL客户端库中 </td> 
 </tr> 
 <tr> 
 <td> PAM Pluggable Authentication </td> 
 <td> 仅支持MySQL Enterprise </td> 
 <td> (Pluggable authentication Modules)来认证MySQL用户。外部身份验证，代理用户支持 </td> 
 </tr> 
 <tr> 
 <td> Windows Pluggable Authentication </td> 
 <td> </td> 
 <td> Windows上使用本地Windows服务对客户端连接进行身份验证 </td> 
 </tr> 
 <tr> 
 <td> LDAP Pluggable Authentication </td> 
 <td> 仅支持MySQL Enterprise </td> 
 <td> 使用LDAP(轻量级目录访问协议)通过访问目录服务(如X.500)来认证MySQL用户 </td> 
 </tr> 
 <tr> 
 <td> Kerberos Pluggable Authentication </td> 
 <td> 仅支持MySQL Enterprise </td> 
 <td> 使用Kerberos进行身份验证。MySQL 8.0.26及更高版本中可用windows和linux环境 </td> 
 </tr> 
 <tr> 
 <td> No-Login Pluggable Authentication </td> 
 <td> </td> 
 <td> mysql_no_login服务器端身份验证插件阻止所有客户端连接到任何使用它的帐户 </td> 
 </tr> 
 <tr> 
 <td> Socket Peer-Credential Pluggable Authentication </td> 
 <td> </td> 
 <td> 服务器端auth_socket身份验证插件对通过Unix套接字文件从本地主机连接的客户机进行身份验证 </td> 
 </tr> 
 <tr> 
 <td> FIDO Pluggable Authentication </td> 
 <td> 仅支持MySQL Enterprise </td> 
 <td> MySQL 8.0.27及更高版本中可用，FIDO身份验证允许使用智能卡、安全密钥和生物识别阅读器等设备进行身份验证 </td> 
 </tr> 
 <tr> 
 <td> Test Pluggable Authentication </td> 
 <td> </td> 
 <td> MySQL包含一个测试插件，用于检查帐户凭据，并将成功或失败记录到服务器错误日志中。 </td> 
 </tr> 
 </tbody> 
</table>

## Client-Side Cleartext Pluggable Authentication ##

提供了一个客户端身份验证插件，使客户端能够将密码以明文形式发送到服务器，而无需哈希或加密。此插件内置于MySQL客户端库中。

下表显示了插件名称。

插件和库名称

<table> 
 <tbody> 
 <tr> 
 <td> 插件或文件 </td> 
 <td> 插件或文件名称 </td> 
 </tr> 
 <tr> 
 <td> Server-side plugin </td> 
 <td> None, see discussion </td> 
 </tr> 
 <tr> 
 <td> Client-side plugin </td> 
 <td> mysql_clear_password </td> 
 </tr> 
 <tr> 
 <td> Library file </td> 
 <td> None (plugins are built in) </td> 
 </tr> 
 </tbody> 
</table>

许多客户端身份验证插件在客户端将密码发送到服务器之前对其进行哈希或加密。这使客户端能够避免以明文形式发送密码。

对于要求服务器接收在客户端输入的密码的身份验证方案，无法进行哈希或加密。在这种情况下，使用客户端 mysql\_clear\_password 插件，使客户端能够将密码以明文形式发送到服务器。没有相应的服务器端插件。相反， mysql\_clear\_password 可以在客户端与任何需要明文密码的服务器端插件协同使用。（例如PAM和简单LDAP身份验证插件；请参阅第6.4.1.5节“PAM可插拔身份验证”和第6.4.1.7节“LDAP可插拔身份证明”。）

**说明:**

在某些配置中，以明文形式发送密码可能是一个安全问题。为了避免在密码可能被截获的情况下出现问题，客户端应使用保护密码的方法连接到MySQL Server。可能性包括SSL、IPsec或专用网络。

为了减少意外使用mysql\_clear\_password插件的可能性，mysql客户端必须显式启用它。这可以通过以下几种方式实现：

● 将  
LIBMYSQL\_ENABLE\_CLEARTEXT\_PLUGIN 环境变量设置为以1、Y或Y开头的值。这将为所有客户端连接启用插件。

● mysql、mysqladmin、mysqlcheck、mysqldump、mysqlshow和mysqlslap客户端程序支持 --enable-cleartext-plugin 插件选项，该选项在每次调用的基础上启用插件。

● mysql\_options() C API函数支持一个  
MYSQL\_ENABLE\_CLEARTEXT\_PLUGIN 选项，该选项在每个连接的基础上启用插件。此外，任何使用 libmysqlclient 并读取选项文件的程序都可以通过在客户端库读取的选项组中包含 enable-cleartext-plugin 插件选项来启用插件。