删除无用MySQL账户是保障数据库安全的关键措施，需识别并移除空用户、测试账户、宽泛host（如root@'%'）、长期未用及临时调试账户，使用DROP USER命令安全删除，并定期审计清理。
删除无用的 MySQL 账户是保障数据库安全的重要一步。默认账户、测试账户、长期未使用的账户，都可能成为攻击入口。重点不是“删得越多越好”，而是识别并移除那些没有明确用途、权限过大或身份不明的账户。
确认哪些账户属于“无用”
先登录 MySQL（建议用 root 或高权限管理员账户），执行以下命令查看所有用户：
SELECT user, host FROM mysql.user;
重点关注以下几类账户：
- 用户名为 ''（空用户名）或 'test'、'root'@'%' 这类宽泛 host 的账户
- host 为 '%' 且非必要远程管理需求的账户（如开发环境误开的全网可连 root）
- 长期未登录、无业务关联、无对应应用配置的账户（可通过日志或运维记录交叉验证）
- 仅用于临时调试、已知不再使用的账户（如上线前测试账号）
用 DROP USER 安全删除账户
MySQL 5.7 及以后推荐使用 DROP USER 命令，它会同时清除账户、权限和相关记录，比单独 REVOKE + DELETE FROM mysql.user 更可靠：
DROP USER 'username'@'host';
例如：
DROP USER 'testuser'@'%';
DROP USER ''@'localhost';
注意：
- 必须指定完整的 'user'@'host'，不能只写用户名；
- 删除后不可恢复，操作前建议备份 mysql.user 表（mysqldump -u root -p mysql user > user_backup.sql）；
- 删除后无需手动 flush privileges，DROP USER 自动生效。
检查残留权限与匿名账户
有些账户虽被删除，但旧权限可能残留在 db、tables_priv 等系统表中。运行以下语句排查：
SELECT * FROM mysql.db WHERE user = '' OR user = 'test';
SELECT * FROM mysql.tables_priv WHERE user = '' OR user = 'test';
若发现残留记录，可用 DELETE 清理（操作前务必确认），然后执行：
FLUSH PRIVILEGES;
特别提醒：空用户名（''@'host'）是匿名账户，极易被利用，只要没特殊用途，一律删除。
建立定期清理机制
账户堆积常因缺乏维护习惯。建议：
- 新账户创建时明确标注用途、有效期和责任人（可记录在内部 Wiki 或 CMDB）
- 每季度执行一次账户审计：查登录历史（需开启 general_log 或 audit log）、比对应用配置清单
- 在自动化部署脚本中加入账户清理步骤（如 Ansible playbook 中集成 DROP USER 任务）
- 对生产库启用 validate_password 插件，并禁止弱密码+通配 host 组合
不复杂但容易忽略。删掉一个多余账户，可能就堵住一次未授权访问的路径。
