必须三步一起执行：删账号、清权限表、强制刷新缓存；正确查匿名用户命令为SELECT User, Host FROM mysql.user WHERE User = ''；MySQL 5.7+用DROP USER ''@'host'，5.6及以前用DELETE FROM mysql.user WHERE User = ''后加FLUSH PRIVILEGES。
必须三步一起执行：删账号、清权限表、强制刷新缓存。只删 mysql.user 行或只跑 DROP USER 都不等于清理完成。
怎么准确查出所有匿名用户
匿名用户是 User = ''（空字符串），不是 User IS NULL。用 IS NULL 会完全漏掉，导致误判“没风险”。
- 正确命令只有这一条：
SELECT User, Host FROM mysql.user WHERE User = ''; - 结果里只要
User列为空，不管Host是'localhost'、'127.0.0.1'还是'::1'，全都要处理 - 别忽略
''@'%'—— 它允许任意远程 IP 免密登录，比本地匿名用户更危险
MySQL 5.7+ 和旧版本的删除方式差异
版本决定你能不能用 DROP USER。硬套错语法会报 ERROR 1396 (HY000)，尤其在 5.6 及以前。
MySQL8 CRM Schema Design Expert
下载
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
- MySQL 5.7 及以上：
DROP USER ''@'localhost'; DROP USER ''@'127.0.0.1'; DROP USER ''@'::1';（IPv6 必须显式删） - MySQL 5.6 或更早：
DELETE FROM mysql.user WHERE User = '';，之后必须立刻执行FLUSH PRIVILEGES; - 严禁写
DROP USER ''—— 缺少@'host'部分，8.0+ 直接语法错误
为什么删完还能连上？关键在 mysql.db 和缓存
DROP USER 不动 mysql.db 表，而该表控制库级权限。残留的 User = '' 记录能让攻击者直接建 test 库、写入大文件甚至 Webshell。
- 必须补这句：
DELETE FROM mysql.db WHERE User = ''; - 必须显式执行：
FLUSH PRIVILEGES;—— Docker / systemd 环境下不会自动重载，跳过就白删 - 验证是否生效：
SELECT USER(), CURRENT_USER();，如果返回类似''@'localhost'，说明没清干净或缓存未刷
删完 root 连不上？别急着加用户，先看认证插件
删匿名用户后 mysql -u root 失败，大概率不是删错了，而是 root@'localhost' 用了 auth_socket 插件（Ubuntu/Debian 默认），它走系统 socket 免密登录，跟空用户名无关。
- 查真实状态：
SELECT User, Host, plugin FROM mysql.user WHERE User = 'root' AND Host = 'localhost'; - 若 plugin 是
auth_socket，要改认证方式：ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'your_password'; - 改完仍需
FLUSH PRIVILEGES;，否则不生效 - 老旧应用若硬编码了
-u '' -h localhost，删完会断连——得同步改代码，不能只修数据库
真正容易被跳过的，是删 mysql.db 里对应权限这一步。很多团队跑完 DROP USER、FLUSH PRIVILEGES 就收工，结果攻击者连上来一句 CREATE DATABASE test; 就能落地执行，因为权限还在。
