MySQL 8密码历史策略需通过ALTER USER或CREATE USER语句显式设置PASSWORD HISTORY，全局变量password_history仅作默认值，phpMyAdmin图形界面修改密码不触发该检查。
MySQL 8 密码历史策略在哪设置
密码历史限制是 mysql 8.0.19+ 原生支持的服务器端功能，**不是 phpmyadmin 的配置项**。phpmyadmin 只能执行 sql 或调用系统函数，它本身不存储、不干预密码策略逻辑。真正起作用的是 mysql 的 password_history 和 password_reuse_interval 系统变量，以及用户账户的 password history 属性。
常见错误现象：在 phpMyAdmin 的“用户账户”界面修改密码后，发现旧密码还能立刻复用——这是因为没在创建/修改用户时显式启用历史检查。
- 必须用
CREATE USER或ALTER USER语句设置，例如：ALTER USER 'alice'@'localhost' PASSWORD HISTORY 5;
- 仅设置全局变量
password_history = 5不生效，它只是默认值，不自动应用到现有用户 - phpMyAdmin 的“更改密码”表单不会触发该策略，它底层执行的是
SET PASSWORD，而该语句**忽略**密码历史检查
为什么用 phpMyAdmin 改密码总绕过历史限制
phpMyAdmin 默认使用 SET PASSWORD 或 ALTER USER ... IDENTIFIED BY（取决于版本和配置），但关键区别在于：只有 ALTER USER ... PASSWORD HISTORY 显式声明时才激活校验。前者只改密钥，后者才查历史。
使用场景：运维人员通过 phpMyAdmin 界面点“编辑”改密码，结果旧密码秒过——不是 bug，是设计如此。MySQL 认为“显式声明策略”才是用户真实意图。
- 安全敏感环境必须禁用 phpMyAdmin 的图形化密码修改入口，改用 SQL 标签页执行带
PASSWORD HISTORY的ALTER USER - 如果启用了
caching_sha2_password插件（MySQL 8 默认），还需确保客户端支持 SHA2，否则ALTER USER可能报错Plugin caching_sha2_password could not be loaded - phpMyAdmin 配置中的
$cfg['Servers'][$i]['auth_type'] = 'cookie'不影响该行为，认证方式和密码策略无关
如何验证密码历史是否真生效
不能只看 phpMyAdmin 界面反馈，得用 MySQL 命令行或 SQL 标签页直连验证。核心是检查用户属性和触发拒绝逻辑。
立即学习“PHP免费学习笔记（深入）”；
- 查当前用户策略：
SELECT User, Host, password_last_changed, password_lifetime, password_reuse_interval FROM mysql.user WHERE User = 'alice';
注意：password_history不在此表中显示，需靠行为验证 - 手动复用最近一次密码：
ALTER USER 'alice'@'localhost' IDENTIFIED BY 'same_old_pass';
若返回错误ER_CANT_REUSE_PASSWORD: Cannot reuse a password that was used within the last 5 passwords，说明生效 - 注意时区影响：MySQL 按服务器本地时间记录
password_last_changed，若应用服务器和 DB 时区不一致，可能造成“刚改完就允许复用”的假象
phpMyAdmin 中最简可行操作路径
别试图在用户列表页点“编辑”——那条路走不通。唯一可靠方式是进 SQL 标签页，手写带策略的语句。
- 新用户直接建：
CREATE USER 'bob'@'%' IDENTIFIED BY 'P@ssw0rd123' PASSWORD HISTORY 3 PASSWORD REUSE INTERVAL 90 DAY;
- 老用户补策略：
ALTER USER 'bob'@'%' PASSWORD HISTORY 3 PASSWORD REUSE INTERVAL 90 DAY;
（这步不改密码，只加约束） - 后续改密必须用：
ALTER USER 'bob'@'%' IDENTIFIED BY 'NewP@ss2024';
——此时才会查历史 - 别漏掉
FLUSH PRIVILEGES，MySQL 8 大部分权限变更不需要它，但密码策略类变更建议执行一次以防缓存延迟
容易被忽略的是：密码历史只对同一用户账号生效，'alice'@'localhost' 和 'alice'@'%' 是两个独立账户，各自维护历史记录。批量管理时得逐个确认 Host 段。
