phpmyadmin 中的匿名用户实为 mysql/mariadb 中 user 为空的账户（如 ''@'localhost'），需直连 mysql 执行 select 和 drop user 删除，注意 ipv6 回环及代理透传问题，并验证依赖服务。
phpmyadmin 里匿名用户是什么
匿名用户不是 phpMyAdmin 自己创建的，而是 MySQL/MariaDB 服务端存在的 ''@'localhost' 或 ''@'%' 这类空用户名账户。phpMyAdmin 只是“能连上它们”——只要数据库允许空用户名登录，它就会显示登录页、甚至直接进首页（取决于配置）。安全扫描报的“匿名用户”，本质是 MySQL 层面的配置风险。
检查并删除 MySQL 中的匿名用户
别在 phpMyAdmin 界面里找“禁用匿名用户”开关——它根本没有。必须直连 MySQL 执行 SQL：
SELECT User, Host FROM mysql.user WHERE User = '';
如果返回结果，说明存在匿名用户。删掉它们：
DROP USER ''@'localhost';-
DROP USER ''@'%';（如果存在）
注意：DROP USER 在旧版 MySQL（DELETE FROM mysql.user WHERE User = '' AND Host = 'localhost'; FLUSH PRIVILEGES;
phpMyAdmin 自身是否允许空密码登录
即使删了 MySQL 匿名用户，phpMyAdmin 还可能因配置不当“放行”空密码请求。关键看 config.inc.php 里的 $cfg['Servers'][$i]['auth_type']：
- 设为
'cookie'或'http'：依赖 MySQL 账户认证，只要 MySQL 没空用户，就安全 - 误设为
'config'且$cfg['Servers'][$i]['password'] = ''：相当于把 root 空密码硬写进配置，极其危险
务必确认没出现 'auth_type' => 'config' + 空密码组合，这种等于把数据库大门钥匙贴在门上。
扫描仍报“匿名用户”？检查连接来源和代理层
有些 WAF、CDN 或反向代理会把真实 IP 替换成 127.0.0.1 或 ::1，导致 MySQL 认为连接来自 localhost，从而匹配到 ''@'localhost'。这时要检查：
- MySQL 的
host字段是否包含'::1'（IPv6 回环）——同样要删：DROP USER ''@'::1'; - phpMyAdmin 是否跑在容器或 Nginx 后，且未正确透传
X-Real-IP，导致权限判断失真
真正麻烦的不是删不掉，而是删完后别的服务（比如某个老旧脚本）悄悄依赖了空用户登录——得挨个验证业务连通性，而不是只看扫描报告变绿。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
