先查后删匿名用户：执行SELECT User,Host FROM mysql.user WHERE User='';检查权限后用DROP USER ''@'localhost';删除；mysql_secure_installation默认不清理，需手动确认；误删root访问路径时应通过socket登录补全host条目。
如何识别并删除 MySQL 中的匿名用户
MySQL 安装后常残留 ''@'localhost' 或 ''@'%' 这类匿名用户，它们用户名为空，权限可能意外开放，是典型的安全隐患。直接删就行，但得先确认它们真没被用——比如某些老旧脚本或监控工具可能悄悄连着空用户名。
实操分三步：
- 用
SELECT User,Host FROM mysql.user WHERE User = '';查出所有匿名用户 - 逐个检查是否在
mysql.db、mysql.tables_priv等表里有额外授权（执行SELECT * FROM mysql.db WHERE User = '';） - 确认无关联权限后，用
DROP USER ''@'localhost';（注意引号不能省）逐个删除；MySQL 8.0+ 不支持DELETE FROM mysql.user直删，必须用DROP USER
mysql_secure_installation 脚本为什么有时不清理匿名用户
这个脚本默认只处理 root 用户的远程访问、测试库、空密码三类问题，对匿名用户（User = ''）不做主动清理——除非你手动回答“Remove anonymous users?”时输入 y。很多人一路回车跳过，就留坑了。
常见错误现象：
- 运行脚本后仍能用
mysql -u '' -h localhost登录成功 - 脚本输出里没提“anonymous users”，只说“All done!”，误以为全清干净了
- MySQL 5.7 和 8.0 的交互提示略有不同，8.0 默认把这步放在最后，容易被忽略
清理后连不上本地 root 怎么办
删完匿名用户，如果发现 mysql -u root 失败，大概率是因为 root 用户本身绑定了 'root'@'localhost'，而你的客户端实际走的是 socket 或 127.0.0.1，导致匹配到 'root'@'127.0.0.1' ——但它可能没设密码或根本不存在。
解决路径很窄，别乱加用户：
- 优先用
mysql -u root -S /var/run/mysqld/mysqld.sock（Linux）或mysql -u root --socket=/tmp/mysql.sock（macOS）强制走 socket - 进库后查
SELECT User,Host FROM mysql.user WHERE User = 'root';，补全缺失的 host 条目：CREATE USER 'root'@'127.0.0.1' IDENTIFIED BY 'xxx'; GRANT ALL ON *.* TO 'root'@'127.0.0.1' WITH GRANT OPTION; - 别用
FLUSH PRIVILEGES代替CREATE USER+GRANT，MySQL 8.0+ 权限变更必须显式授权
安全初始化脚本二次运行的风险点
mysql_secure_installation 不是幂等操作。第二次运行时，“Remove anonymous users?” 若选 y，它会再跑一遍 DROP USER ''@'...' ——如果上次已删，这次会报错 ERROR 1396 (HY000): Operation DROP USER failed for ''@'localhost'，但脚本不会中断，后续步骤照常执行，容易让人误判失败。
更麻烦的是重置 root 密码环节：若之前已设过强密码，再次选“yes”会导致 root 密码被覆盖成新输的值，且无提示旧密码是否有效。
- 建议每次运行前先备份
mysql.user表：mysqldump --single-transaction mysql user > user_backup.sql - 生产环境禁止反复运行该脚本，应把清理逻辑固化为可审查的 SQL 脚本，而非依赖交互式工具
- MySQL 8.0.26+ 新增
--skip-validate-password参数，但不影响匿名用户判断逻辑，别指望它绕过校验
事情说清了就结束
