判断MySQL废弃账号需比对权限范围与应用实际使用账号：先查未锁定账号，分析授权库是否在应用数据库清单中，检查命名规范，从代码/配置/Vault中提取真实账号，再核查复制链路和DEFINER依赖，最后锁定观察无误再删除。
怎么判断一个 MySQL 账号是不是废弃的
账号是否废弃，不能只看「好久没登录」——mysql.user 表里没有登录时间字段，performance_schema.events_statements_summary_by_account_by_event_name 也只保留最近聚合数据，且默认关闭。真正可靠的方式是：**比对账号权限范围 + 当前应用配置中实际使用的账号列表**。
实操建议：
- 先用
SELECT user, host FROM mysql.user WHERE account_locked = 'N';拿出所有未锁定账号（锁定的可先搁置） - 对每个账号执行
SHOW GRANTS FOR 'username'@'host';，重点关注GRANT ... ON database_name.*或ON *.*这类宽泛授权——如果授权库名在当前所有应用的数据库清单里都不存在，大概率废弃 - 检查账号名是否符合团队命名规范（比如带
_app、_read后缀），不符合的要人工核验；纯数字、含特殊字符、或明显测试用途（如test123、dev_tmp）的优先标记
从应用配置里提取真实使用的账号列表
别信文档，直接翻代码和配置文件。很多团队的「应用账号清单」早就过期了，但 application.yml、.env、K8s Secret YAML、或者启动脚本里的 MYSQL_USER 环境变量，基本还活着。
实操建议：
- 用
grep -r "MYSQL_USER\|spring\.datasource\.username\|db\.user" ./src ./deploy ./config 2>/dev/null扫描项目目录（注意排除node_modules和target） - 对微服务架构，别漏掉 sidecar 配置（如 Istio 的
EnvoyFilter里硬编码的 DB 连接）、Job 类任务的独立配置（如 Airflow 的 Connection、Cron 的 shell 脚本） - 如果用了 Vault 或 AWS Secrets Manager，查对应路径下 secret key 名称（比如
secret/mysql/prod/app_api），再反推账号名；这类账号通常不会出现在本地配置里
执行删除前必须做的三件事
删账号不是 DROP USER 一下就完事。MySQL 5.7+ 会自动回收权限，但仍有隐性依赖：比如某个账号被用于复制通道（CHANGE REPLICATION SOURCE TO SOURCE_USER=...），或作为 DEFINER 存在于存储过程里，删了会导致调用失败。
实操建议：
- 运行
SELECT * FROM performance_schema.replication_connection_configuration WHERE SOURCE_USER = 'username';查复制链路 - 运行
SELECT routine_schema, routine_name, definer FROM information_schema.routines WHERE definer LIKE 'username@%';查 DEFINER 依赖 - 临时禁用而非删除：用
ALTER USER 'username'@'host' ACCOUNT LOCK;锁定账号，观察 3–5 个业务高峰周期是否有报错（如Access denied for user日志突增）；确认无误再DROP USER
为什么 SELECT user FROM mysql.user 结果和实际不一致
常见错误现象：SELECT user FROM mysql.user 返回一堆账号，但比对后发现有些根本连不上——可能因为 host 匹配失败，或者账号被 CREATE USER 建了但没授任何权限，甚至只是残留的空行（MySQL 8.0+ 允许创建无密码账号，但无法认证）。
实操建议：
- 检查
host字段是否为%、localhost、或具体 IP；localhost和127.0.0.1在 MySQL 认证逻辑里是两个不同账号，别混为一谈 - 运行
SELECT user, host, authentication_string, account_locked FROM mysql.user WHERE user = 'xxx';，确认authentication_string不为空（空值表示无密码，多数情况无法登录） - MySQL 8.0.19+ 引入了
password_reuse_history等策略，可能导致旧账号被系统静默锁定，查account_locked和password_last_changed字段更准
事情说清了就结束。最常被忽略的是 DEFINER 依赖和复制账号——它们不走常规连接池，也不会出现在应用配置里，但一删就炸。
