dbeaver连接MySQL报错：Public Key Retrieval is not allowed

Question

在使用 DBeaver 连接 MySQL 8.0+ 数据库时，常遇到“Public Key Retrieval is not allowed”错误，尤其是在启用 caching_sha2_password 认证插件的场景下。该问题通常出现在用户密码加密方式为 SHA-256 且客户端未允许公钥检索时。DBeaver 默认禁止此类安全敏感操作，导致认证失败。解决方法包括：在连接配置的驱动属性中添加 `allowPublicKeyRetrieval=true`，并根据需要配合 `useSSL=false` 或配置正确 SSL；或改用更安全的连接方式，如启用 SSL 并信任服务器公钥。建议同时检查 MySQL 用户权限与认证方式，优先使用强认证与加密连接以保障安全。

Answer 1

深入解析 DBeaver 连接 MySQL 8.0+ 时的“Public Key Retrieval is not allowed”错误

1. 问题背景与常见表现

在使用 DBeaver 连接 MySQL 8.0 及以上版本数据库时，许多开发者频繁遇到如下错误提示：

Public Key Retrieval is not allowed

该错误通常出现在启用 caching_sha2_password 认证插件的 MySQL 实例中。MySQL 8.0 默认使用此插件替代旧版的 mysql_native_password，其采用 SHA-256 加密机制进行密码验证。当客户端尝试连接但未允许公钥检索时，DBeaver 出于安全考虑默认禁用该功能，从而导致认证失败。

典型场景包括：远程连接云数据库、开发环境与生产环境配置不一致、用户权限变更后未同步客户端设置等。

2. 技术原理剖析：caching_sha2_password 与公钥检索机制

MySQL 的 caching_sha2_password 插件在身份验证过程中使用非对称加密技术。当客户端发起连接请求时，服务器可能需要向客户端发送其 RSA 公钥，用于加密传输密码。这一过程称为“公钥检索（Public Key Retrieval）”。

DBeaver 使用的 JDBC 驱动（如 MySQL Connector/J）默认将 allowPublicKeyRetrieval 设置为 false，以防止潜在的中间人攻击。因此，若未显式开启该选项，即使用户名密码正确，也会抛出上述异常。

3. 常见解决方案汇总

1. 在 DBeaver 连接配置中添加驱动属性：allowPublicKeyRetrieval=true
2. 根据是否启用 SSL，设置 useSSL=false 或配置信任证书
3. 修改 MySQL 用户认证方式为 mysql_native_password（不推荐长期使用）
4. 导入服务器公钥至客户端信任库，实现安全的公钥交换
5. 使用 SSH 隧道增强连接安全性
6. 升级 MySQL Connector/J 至 8.0.x 最新版以支持最新安全特性
7. 配置 DBeaver 使用强密码策略和双因素认证代理
8. 通过 MySQL 配置文件预加载公钥路径：sha256_password_server_public_key
9. 启用 TLS 1.2+ 并配置正确的 CA 证书链
10. 定期审计用户账户的 plugin 字段状态

4. 操作步骤详解：DBeaver 中配置 allowPublicKeyRetrieval

以下为具体操作流程：

步骤	操作说明	注意事项
1	打开 DBeaver，右键已有连接或新建 MySQL 连接	确保选择的是 MySQL 8 driver
2	进入“Driver Properties”标签页	部分版本显示为“Properties”
3	添加新属性：allowPublicKeyRetrieval = true	必须小写且无空格
4	若未启用 SSL，设置 useSSL = false	生产环境建议启用 SSL
5	测试连接并保存	观察日志输出是否有警告信息

5. 安全性权衡与最佳实践建议

虽然设置 allowPublicKeyRetrieval=true 能快速解决问题，但从安全角度需谨慎评估。理想做法是结合 SSL/TLS 加密通道，并预先分发服务器公钥。可通过以下命令导出 MySQL 服务器公钥：

openssl rsa -in private_key.pem -pubout -out public_key.pem

然后在 JDBC URL 中指定：

jdbc:mysql://host:port/db?allowPublicKeyRetrieval=true&useSSL=true&serverRSAPublicKeyFile=/path/to/public_key.pem

此举可避免运行时动态获取公钥带来的风险。

6. 架构级应对策略：统一认证与连接管理

对于企业级应用，建议构建统一的数据访问层网关，集中处理认证、加密与审计。如下图所示：

graph TD
    A[客户端/DBeaver] --> B{API 网关 / 数据代理}
    B --> C[MySQL 8.0 集群]
    B --> D[LDAP/OAuth2 认证服务]
    B --> E[SSL 证书管理中心]
    F[审计日志系统] <---> B
    style A fill:#f9f,stroke:#333
    style C fill:#bbf,stroke:#333
    

该架构实现了连接隔离、细粒度权限控制与端到端加密，从根本上规避了客户端配置差异引发的安全隐患。

7. 监控与故障排查辅助脚本

可用于诊断用户认证方式的 SQL 查询：

SELECT 
    User, 
    Host, 
    plugin, 
    authentication_string 
FROM mysql.user 
WHERE User = 'your_username';

检查当前连接使用的加密协议：

SHOW STATUS LIKE 'Ssl_cipher';

若返回空值或 "DHE-RSA-AES256-SHA" 类似弱加密套件，则应重新配置 SSL。