孤立用户指数据库用户在sys.database_principals中存在但sys.server_principals中无对应登录名；MySQL无此概念，实际多为host不匹配或权限全N的无效账户。
什么是孤立用户（Orphaned User）？
当数据库从一个 SQL Server 实例迁移到另一个（比如通过备份还原、分离附加），或者删除了登录名但没清理对应数据库用户时，sys.database_principals 中的用户仍存在，但 sys.server_principals 中找不到匹配的登录名——这就是孤立用户。MySQL 本身没有“登录名/用户名分离”的概念，所以严格来说MySQL 没有孤立用户问题。
你真正遇到的，大概率是以下两种情况之一：
- 迁移自 SQL Server 或 PostgreSQL 后残留的权限元数据误判
- 误以为
mysql.user表里某条记录失效即为“孤立”，实则是权限未刷新或 host 匹配失败
MySQL 中实际要查的是「无权限用户」或「无效 host 用户」
MySQL 的权限模型基于 user + host 组合唯一标识一个账户。常见“看似孤立”的现象其实是：host 字段值不匹配（如写成 'localhost' 却用 127.0.0.1 连接），或用户存在但所有权限字段全为 N。
执行这条查询定位可疑账户：
SELECT User, Host, Select_priv, Insert_priv, Update_priv, Delete_priv
FROM mysql.user
WHERE (Select_priv = 'N' AND Insert_priv = 'N' AND Update_priv = 'N' AND Delete_priv = 'N')
AND User NOT IN ('mysql.infoschema', 'mysql.session', 'mysql.sys');注意：mysql.* 系统用户必须排除，它们权限字段为 N 是设计使然，不是问题。
win可用的mysql指令skill
下载
安装、修复、更新或打包一个基于 Python 和 PyMySQL 实现的 Windows `mysql` 命令。适用于用户希望在 PowerShell/CMD 中输入 `mysql` 时重定向到 Python 实现、需要交互式输入 MySQL 连接信息、需要同步到当前用户本地 bin 目录，或需要将该能力封装成可公开复用的 Codex skill。
-
Host值为'%'时能匹配任意 IP，但无法匹配localhost（Unix socket 连接走本地文件，MySQL 特殊处理） - 若应用连接报
Access denied for user 'xxx'@'yyy'，先确认 yyy 是否和mysql.user.Host完全一致（包括空格、大小写） - 修改
mysql.user表后，必须执行FLUSH PRIVILEGES;，否则变更不生效
如何安全清理“僵尸用户”？
所谓“僵尸用户”，是指创建后从未被使用、且无任何显式授权的账号。MySQL 不记录登录历史，所以只能靠人工判断+权限状态交叉验证。
推荐步骤：
- 用
SELECT User, Host FROM mysql.user WHERE User NOT LIKE 'mysql.%';列出非系统用户 - 对每个用户，执行
SHOW GRANTS FOR 'user'@'host';；如果返回GRANT USAGE ON *.* TO ...且无其他语句，说明该用户只有连接权，可评估是否保留 - 删除前务必确认：该用户不在任何应用配置、中间件白名单、监控脚本中；生产环境建议先
RENAME USER 'old'@'host' TO 'old_disabled'@'host';观察一周 - 不要直接 DELETE FROM mysql.user —— 必须用
DROP USER 'user'@'host';，它会自动清理mysql.db、mysql.tables_priv等关联权限记录
修复权限不生效的典型场景
最常被忽略的是权限作用域叠加与覆盖规则。例如：
- 给
'app'@'%'授了SELECT，又给'app'@'192.168.1.%'授了INSERT，那么从192.168.1.100连接时，INSERT有效但SELECT无效（因为更具体的Host条目未显式授予） -
GRANT ... ON db.*不会继承到新创建的表，除非同时开了SQL_MODE=NO_AUTO_CREATE_USER并配合CREATE权限 - 存储过程内执行的 SQL 默认以 definer 身份运行，若 definer 用户已被删，调用会报
The user specified as a definer ('xxx'@'yyy') does not exist—— 此时需用ALTER PROCEDURE proc_name SQL SECURITY DEFINER重设或改用INVOKER
权限修复后，别忘了检查 max_connections、max_user_connections 是否限制过严，有时连接数满也会表现为“权限拒绝”错觉。
