mysql初始化时默认创建''@'localhost'等匿名用户用于本地调试，生产环境必须删除，否则存在安全风险；需用delete from mysql.user配合flush privileges清理，并验证root用户未被覆盖。
为什么 MySQL 启动后自动存在 ''@'localhost' 这个空用户名用户
这是 MySQL 5.7 及更早版本在初始化时的默认行为，mysql_install_db 或 mysqld --initialize 会创建一个无密码、空用户名的匿名用户，用于本地快速连接调试。它不是 bug，是历史遗留设计，但生产环境必须清理——因为只要本地有 shell 权限，就能绕过认证直接进库。
如何安全删除匿名用户（含多主机场景）
先连上 MySQL（需有 DELETE 权限），查清当前所有匿名用户：
SELECT User, Host FROM mysql.user WHERE User = '';
常见结果不止一条：''@'localhost'、''@'127.0.0.1'、''@'::1' 都得分别删。执行时注意：
- 不能用
DROP USER ''@'localhost'在老版本（如 5.6）上——会报错ERROR 1396 (HY000)，必须用DELETE FROM mysql.user - 删完必须
FLUSH PRIVILEGES，否则内存缓存不更新，用户仍可登录 - 如果启用了
skip-name-resolve，''@'localhost'和''@'127.0.0.1'是两个独立用户，都要处理
安全删除命令示例：
DELETE FROM mysql.user WHERE User = '' AND Host IN ('localhost', '127.0.0.1', '::1');<br>FLUSH PRIVILEGES;
删完还要检查 root 用户是否被匿名用户覆盖
匿名用户优先级高于 root@localhost：当客户端用 mysql -u root 连接时，MySQL 会按 User+Host 匹配顺序选用户，而 ''@'localhost' 的 Host 更具体，可能抢在 root@localhost 前匹配成功——导致你以为登的是 root，实际权限为匿名用户（几乎没权限）。
验证方法：
- 连上后立刻执行
SELECT USER(), CURRENT_USER(); - 如果返回
root@localhost/@localhost，说明当前会话身份是匿名用户（CURRENT_USER()显示实际匹配的账号） - 此时应确保
root@localhost存在且密码非空，并考虑禁用root@127.0.0.1等冗余 root 实例
MySQL 8.0+ 的匿名用户行为差异
8.0 初始化默认不再创建匿名用户，但如果你是从 5.7 升级上来，旧的 ''@'localhost' 会保留。另外 8.0 引入了 caching_sha2_password 插件，如果残留匿名用户且未设密码，某些客户端（如老版 PHP mysqli）可能因认证插件不匹配直接拒绝连接，错误信息类似：Authentication plugin 'caching_sha2_password' cannot be loaded。
升级后务必运行：
SELECT plugin FROM mysql.user WHERE User = '';
若返回 mysql_native_password 或空值，说明该用户处于不兼容状态，应一并清理，而非尝试修改其 plugin。
真正麻烦的不是删不掉，而是删了之后应用连不上——因为它们一直靠匿名用户“偷渡”进来，没配真实账号。上线前务必确认所有业务连接字符串已明确指定 -u 和 -p。
