存在匿名用户：执行SELECT User, Host FROM mysql.user WHERE User = '';若返回''@'localhost'等记录即存在风险，需用DROP USER ''@'host'清理，禁用DELETE操作，并检查mysql.db等关联表残留权限。
怎么确认 MySQL 里真有匿名用户
匿名用户指 User 列为空字符串（''）的账号，不是用户名为 anonymous 或 guest 的那种。它常出现在旧版 MySQL 初始化后，或某些一键安装包中。
先查清楚有没有，别凭感觉删：
SELECT User, Host FROM mysql.user WHERE User = '';
如果返回结果为空，说明没有真正意义上的匿名用户；如果有，注意看 Host 值——常见的是 'localhost'、'127.0.0.1'、'::1'，也可能有 '%'。别漏掉 IPv6 地址。
特别提醒：MySQL 8.0+ 默认不创建匿名用户，但升级或迁移后可能残留；某些发行版（如 Ubuntu）用 auth_socket 插件配置 root@localhost，看起来像“没密码就能登”，但它不是匿名用户，User 是 'root'，只是认证方式不同。
删匿名用户必须用 DROP USER，不是 DELETE
直接 DELETE FROM mysql.user WHERE User = '' 是危险操作。它只删了 mysql.user 表，而 mysql.db、mysql.tables_priv 等权限表里的记录还在，权限缓存也不刷新，可能导致后续 CREATE USER 报 ERROR 1396，或者删完还能连上。
正确做法是逐条用 DROP USER：
DROP USER ''@'localhost';<br>DROP USER ''@'127.0.0.1';<br>DROP USER ''@'::1';
如果存在远程匿名用户（少见但可能）：
DROP USER ''@'%';
执行后不用手动 FLUSH PRIVILEGES——DROP USER 是 DDL，MySQL 内部自动重载权限。强行 flush 反而可能触发锁表。
注意：DROP USER ''@'localhost' 在部分旧版本或特殊初始化状态下会报错 ERROR 1396，此时说明该空用户记录格式异常，可临时改用 DELETE + FLUSH，但仅限应急，之后建议运行 mysql_upgrade 校验系统表。
怎么识别和清理过期/僵尸账户
长期不用的账号不等于能随便删。得先判断它是否真的“死”了：
- 查
performance_schema.accounts表（MySQL 8.0+），前提是相关 consumer 已启用：UPDATE performance_schema.setup_consumers SET ENABLED = 'YES' WHERE NAME = 'accounts';
然后运行：SELECT USER, HOST FROM performance_schema.accounts WHERE LAST_SEEN < NOW() - INTERVAL 90 DAY AND USER NOT IN ('root', 'mysql.session', 'mysql.sys'); - 查已锁定且无任何权限的账号（所有版本通用）：
SELECT User, Host FROM mysql.user WHERE account_locked = 'Y' AND Select_priv = 'N' AND Insert_priv = 'N' AND Update_priv = 'N' AND Delete_priv = 'N' AND Create_priv = 'N' AND Drop_priv = 'N' AND authentication_string REGEXP '^\*0$|^\*1$|^$';
删之前务必检查三件事：
- 该账号是否被其他账号通过
PROXY权限代理（查mysql.proxies_priv） - 是否被赋予了角色（查
mysql.role_edges），若有，先REVOKE role_name FROM 'user'@'host' - 当前是否有活跃连接（
SELECT ID, USER, HOST FROM information_schema.PROCESSLIST WHERE USER = 'xxx'），如有需KILL掉
删完还要注意什么
删除操作本身很快，但容易忽略两点：
一是 Host 字段匹配很严格：'localhost' 和 '127.0.0.1' 是两个不同账号，'%' 不匹配 localhost（Unix socket 特性），所以查到几个就得删几个，不能靠“差不多”。
二是删用户不会动它建的库、表、存储过程——这些得单独处理。比如某个监控账号建了 monitor_log 库，删账号后那库还在，得人工评估要不要一并 DROP DATABASE。
最后提醒：云数据库（如阿里云 RDS、AWS RDS）通常禁用 mysql_secure_installation，也不允许删系统库或改 mysql 系统表，这类环境必须走控制台或 API 操作，不能直接连上去跑 DROP USER。
