应执行select host, user, authentication_string from mysql.user where user = ''识别mysql中user为空字符串的匿名账号，因其可无需密码登录且易被滥用，需结合show grants验证权限并用drop user ''@'host'删除后flush privileges。
如何识别 MySQL 中的匿名账号
MySQL 的匿名账号是指 user 为空字符串（''）的账户，它们通常匹配任意用户名（只要主机匹配），极易被滥用。最直接的检查方式是查 mysql.user 表：
SELECT host, user, authentication_string FROM mysql.user WHERE user = '';
注意：MySQL 8.0+ 使用 authentication_string 字段替代旧版的 password；5.7 及以前若看到 password 字段为空或为 * 开头的哈希值，也需警惕。常见风险组合是 host 为 '%' 或 'localhost' 且 user 为空。
为什么不能直接用 DROP USER ''@'%' 删除
MySQL 对空用户名的删除语法有严格限制：如果未显式指定 ''@'host' 格式，DROP USER 会报错 ERROR 1396 (HY000): Operation DROP USER failed for ''@'%' —— 这是因为解析器默认拒绝模糊匹配。必须完整写出用户名和主机名，且用单引号包裹空字符串：
DROP USER ''@'localhost';DROP USER ''@'%';- 不能写成
DROP USER @'%';或DROP USER ''@'';（后者主机为空非法）
执行前务必确认该账号确实无业务使用，可通过 SHOW GRANTS FOR ''@'host'; 查看其权限范围——若包含 ALL PRIVILEGES ON *.* 或 GRANT OPTION，就属于高危账号。
移除后需刷新权限并验证残留
执行 DROP USER 后，MySQL 不会自动重载权限表，必须手动触发：
FLUSH PRIVILEGES;
但更关键的是验证是否真被清除：再次运行开头的 SELECT 查询，确保结果为空；同时检查是否存在「看似非匿名、实则等效」的账号，例如 user 为 ' '（空格）或 ' '（NULL 字符）——这些虽不等于空字符串，但在某些客户端连接时可能被宽松解析，建议一并排查：
SELECT host, user FROM mysql.user WHERE user LIKE '% %' OR user REGEXP '[[:space:]]|\0';
这类边缘账号极少见，但一旦存在，DROP USER 无法直接处理，需先用 UPDATE mysql.user SET user = '' WHERE ...（不推荐）或重装权限表（极端情况）。
生产环境操作前必须做的三件事
匿名账号往往不是孤立存在，而是历史遗留配置的一部分。上线前漏掉这三步，容易引发服务中断：
- 备份
mysql.user表：mysqldump --single-transaction mysql user > user_backup.sql - 确认当前连接无依赖该账号的应用——比如某些老监控脚本硬编码了
-u '' -h localhost - 检查
my.cnf中是否设置了skip-grant-tables或init_connect加载了匿名上下文，这类配置会让权限变更失效
真正麻烦的从来不是删掉一个空用户，而是删完之后发现某个定时任务连不上库，而日志里只写着 Access denied for user ''@'localhost'——这时候你得翻三天前的部署记录才能定位到是谁悄悄加的这个账号。
