升级到 MySQL 8.0 后，许多开发环境或旧系统在建立数据库连接时开始出现一个诡异的现象：偶尔卡顿几秒甚至直接抛出通信超时错误。检查网络和服务器负载一切正常，最终定位到由默认的身份验证插件 caching_sha2_password 引发。了解背后的原因，才能找到不影响安全性的最优解。
caching_sha2_password 的认证流程与超时根源
mysql_native_password 在认证时简单散列处理密码并发送，整个握手过程极快。而 caching_sha2_password 为了兼容安全传输通道，内部存在两种工作模式。在未启用 SSL 且要求安全传输时，客户端需要通过 RSA 公钥加密密码，如果公钥文件无法及时获取，就会陷入额外的网络请求或文件读取，导致握手耗时陡增。部分客户端驱动默认情况下并不会自动获取公钥，连接线程会阻塞直到超时。
另一方面，即使使用了 SSL 加密链路，插件在首次认证时仍会计算 SHA-256 的多次迭代，计算开销本身虽不大，但在高并发短连接的场景下，重复的密钥生成与校验累积起来足以拖慢连接池的初始填充速度，反映到应用端就是超时或连接被拒绝。
从客户端与驱动侧解决超时
最直接的手段是确保所用数据库驱动完整支持 caching_sha2_password。以 Java 的 MySQL Connector/J 为例，8.0 以上版本对该插件有原生支持，但默认配置可能仍会尝试旧式握手。可以显式指定连接参数让驱动自动处理公钥检索：
// JDBC 连接字符串示例
String url = "jdbc:mysql://localhost:3306/mydb" +
"?useSSL=true" +
"&serverTimezone=UTC" +
"&allowPublicKeyRetrieval=true" +
"&defaultAuthenticationPlugin=caching_sha2_password";
参数 allowPublicKeyRetrieval=true 允许客户端主动向服务器请求 RSA 公钥，避免因查找本地公钥文件失败而卡住。需要注意的是，此选项仅在首次连接时以非 SSL 方式交换公钥时会增加一次网络往返，但远优于超时重试。若已启用 SSL，公钥会通过安全通道直接传输，该参数可以设置为 false 以降低不必要的通信。
对于 PHP 的 PDO 或 mysqli 扩展，同样需要检查是否编译了 OpenSSL 支持，并在连接时明确设置 SSL 选项：
$pdo = new PDO(
'mysql:host=127.0.0.1;dbname=test;charset=utf8mb4',
'user',
'password',
[
PDO::MYSQL_ATTR_SSL_CA => '/path/to/ca.pem',
PDO::MYSQL_ATTR_SSL_VERIFY_SERVER_CERT => false,
]
);
若因为环境限制无法使用 SSL，则需要确保 MySQL 服务器为账号生成了公钥文件，并配置客户端能够读取。通常该文件位于数据目录下的 public_key.pem，可在连接时通过参数指定路径，或直接将其内容嵌入配置。
调整 MySQL 服务器端配置消除延时
如果大量遗留系统暂时无法升级驱动，可以将 caching_sha2_password 替换回 mysql_native_password 作为过渡方案。修改配置文件 my.cnf：
[mysqld] default_authentication_plugin=mysql_native_password
重启实例后，新创建的用户会默认使用旧插件。但更精细的做法是仅对特定账号调整：
ALTER USER 'root'@'%' IDENTIFIED WITH mysql_native_password BY 'strong_password';
降级身份验证插件虽然能立刻解决超时，但会舍弃 caching_sha2_password 带来的安全性提升——该插件对密码使用 salted SHA-256 并内置缓存机制，可以有效防御彩虹表攻击。因此，降级只应作为临时方案，同时需配合防火墙或网络层加密来补足安全缺口。
还可以从连接超时参数入手。许多连接超时并非完全由认证插件导致，而是因为 connect_timeout 设置过短，导致慢速网络下握手未完成就被中断。可适当增加该值：
SET GLOBAL connect_timeout = 30;
与此同时，监控 aborted_connects 状态变量，如果激增且与插件升级时间吻合，则是明确的调优信号。
利用连接池与缓存减轻认证压力
对于高并发短连接的应用，认证开销会被放大。连接池通过复用已认证的连接，直接绕过了插件握手阶段。例如在 Java 中配置 HikariCP：
HikariConfig config = new HikariConfig();
config.setJdbcUrl("jdbc:mysql://localhost:3306/mydb");
config.setUsername("user");
config.setPassword("pass");
config.addDataSourceProperty("cachePrepStmts", "true");
config.addDataSourceProperty("prepStmtCacheSize", "250");
config.addDataSourceProperty("prepStmtCacheSqlLimit", "2048");
config.setMaximumPoolSize(10);
HikariDataSource ds = new HikariDataSource(config);
配置合理的最小空闲连接数，确保池中始终保有经过认证的连接，可以有效消除新建连接时的超时风险。此外，MySQL 8.0 的 caching_sha2_password 自身实现了服务端缓存，成功认证一次后，后续同一用户再次连接时会跳过完整散列运算，仅做消息摘要比对，连接池正好能放大这一缓存收益。
如果应用架构中包含负载均衡或代理层（如 ProxySQL），需确保代理支持 caching_sha2_password 的正确透传，否则会在网络路径上增加新的握手开销。升级代理版本并开启快速认证转发，也是容易被忽视的优化点。
MySQL 8.0caching_sha2_password连接超时修改时间：2026-08-12 08:36:48