MySQL可通过PAM插件结合Google Authenticator实现双因素认证：先安装PAM及认证工具，配置/etc/pam.d/mysql文件，加载authentication_pam插件，创建PAM认证用户并授予权限，用户运行google-authenticator绑定OTP应用，连接时输入密码和动态验证码完成验证。
MySQL 本身不直接支持双因素认证（2FA），但可以通过插件机制结合外部认证方式实现类似功能。最常用的方法是使用 PAM（Pluggable Authentication Modules）插件配合 Google Authenticator 或其他 OTP（一次性密码）服务来实现双因素认证。以下是具体配置方法。
启用 MySQL 双因素认证的前提条件
确保你的系统满足以下条件：
- MySQL 或 MariaDB 已安装并运行
- 操作系统为 Linux（如 CentOS、Ubuntu）
- 已安装 PAM 开发库和 Google Authenticator 工具
- 以 root 或具备 sudo 权限的用户操作
安装和配置 PAM 与 Google Authenticator
双因素认证依赖操作系统的 PAM 模块，先完成系统层配置：
1. 安装 PAM 开发包和 Google Authenticator在 CentOS/RHEL 系统：
yum install pam-devel google-authenticator -y
在 Ubuntu/Debian 系统：
apt-get install libpam-dev libpam-google-authenticator google-authenticator -y
2. 配置 PAM 认证服务
创建 MySQL 使用的 PAM 配置文件：
sudo vim /etc/pam.d/mysql
添加以下内容：
auth required pam_google_authenticator.so account required pam_unix.so
这表示登录时需要通过 Google Authenticator 验证，并检查本地账户权限。
配置 MySQL 使用 PAM 插件认证
确保 MySQL 支持 PAM 插件（通常 MariaDB 更完善支持，MySQL 企业版也支持）。
1. 加载 authentication_pam 插件
登录 MySQL 执行：
INSTALL PLUGIN authentication_pam SONAME 'authentication_pam.so';
2. 创建使用 PAM 认证的用户
例如创建一个需要双因素认证的用户：
CREATE USER 'user2fa'@'%' IDENTIFIED WITH authentication_pam AS 'mysql';
其中 'mysql' 对应的是 /etc/pam.d/mysql 配置文件名。
3. 授予权限
赋予用户所需数据库权限：
GRANT SELECT ON yourdb.* TO 'user2fa'@'%';
用户端设置 Google Authenticator
每个使用双因素认证的用户需完成以下步骤：
- 登录系统后运行 google-authenticator 命令
- 扫描生成的二维码，绑定到手机认证应用（如 Google Authenticator、Authy）
- 保存备用码，按提示将配置写入 ~/.google_authenticator
之后该用户每次通过 MySQL 客户端连接时，会提示输入动态验证码。
测试双因素认证连接
使用客户端连接时，系统会要求输入操作系统用户密码 + 动态验证码（部分环境可能仅需动态码）：
mysql -u user2fa -h your_mysql_host -p
注意：实际交互由 PAM 模块控制，可能需要先通过 SSH 登录或使用支持 PAM 的连接方式。
基本上就这些。MySQL 通过 PAM 集成双因素认证是一种有效增强安全性的方法，虽然配置稍复杂，但能显著提升账户安全性。关键是系统层 PAM 配置正确，且用户完成 OTP 绑定。
