应执行select user, host from mysql.user where trim(user) = '';若返回任意行即存在匿名用户；必须用drop user ''@'host';删除，禁用delete from mysql.user，删后需验证残留并检查关联权限表。
怎么一眼看出MySQL里有没有匿名用户
匿名用户就是 User 列为空字符串（''）的账号，它们不设密码、不限制来源，极易被利用。别信“没配就安全”，新装或升级后残留很常见。
登录 MySQL 后直接执行：
SELECT User, Host, authentication_string FROM mysql.user WHERE TRIM(User) = '';
注意用 TRIM()，因为有些记录的 User 是空格或制表符，= '' 查不到；authentication_string 字段在 MySQL 8.0+ 中存密码哈希，5.7 及以前看 Password 字段（但该字段已废弃）。
如果返回任意行，就说明存在需清理的匿名用户——哪怕只有一条 ''@'localhost'，也算漏洞。
删匿名用户该用 DROP USER 还是 DELETE FROM mysql.user
答案取决于 MySQL 版本和记录具体形态：
- MySQL 5.7：多数情况可用
DROP USER ''@'localhost';，但若报错ERROR 1396 (HY000)，说明该记录不被DROP USER识别，得切到DELETE方式 - MySQL 8.0+：官方明确要求优先用
DROP USER，禁用直接改mysql.user表；DELETE FROM mysql.user不同步清理mysql.db等关联权限表，后续FLUSH PRIVILEGES可能失败或引发权限异常 - 所有版本都禁止在
--skip-grant-tables模式下操作：先查SELECT @@skip_grant_tables;，返回1就必须重启 mysqld 并移除配置文件里的skip-grant-tables行
稳妥做法是：对每条查出的记录，构造并执行 DROP USER ''@'host';（注意单引号不能省）。批量生成语句可跑：
SELECT CONCAT('DROP USER ''', User, '''@''', Host, ''';') AS drop_stmt FROM mysql.user WHERE TRIM(User) = '';
删完为什么还查得到空用户或连得上
这是最常被忽略的环节。删完不是终点，而是验证起点：
-
DROP USER执行后 MySQL 自动刷新权限，无需再FLUSH PRIVILEGES；但如果用了DELETE FROM mysql.user，就必须跟FLUSH PRIVILEGES; - 删完立刻重查：
SELECT User, Host FROM mysql.user WHERE TRIM(User) = '';，结果应为空；但即使为空，仍要测试是否还能匿名连接：mysql -u '' -h127.0.0.1 -P3306 -e "SELECT USER();" - 某些残留可能藏在
mysql.db或mysql.tables_priv：执行SELECT * FROM mysql.db WHERE User = '';，若有结果，也得对应清理或重建权限 - 检查是否有多个
root条目：SELECT User, Host FROM mysql.user WHERE User = 'root';，只留'root'@'localhost'，其余如'root'@'127.0.0.1'或'root'@'%'都得DROP USER
清理后必须手动补的三件事
mysql_secure_installation 脚本不会做这些，但线上环境缺一不可：
- 确认
bind-address在/etc/mysql/mysql.conf.d/mysqld.cnf或/etc/my.cnf中设为127.0.0.1或具体内网 IP，而不是0.0.0.0 - 检查
plugin字段是否为auth_socket（常见于 Ubuntu 默认安装），导致密码登录失败：执行ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'your_new_pass'; - 备份当前权限状态：
mysqldump --no-data --skip-triggers mysql > mysql_permissions_$(date +%F).sql，下次误操作时有据可依
真正麻烦的从来不是“怎么删”，而是删完发现业务连不上、监控掉线、或者某台旧服务器上有个脚本硬编码了空用户名——所以动手前，先确认哪些服务真在用 ''@'localhost'，别一刀切。
