应使用delete from mysql.user where length(trim(user)) = 0 and host in ('localhost', '127.0.0.1', '%')删除含空白字符的伪空用户，并立即执行flush privileges生效。
MySQL中识别空用户名和特殊字符用户名
MySQL的mysql.user表里，用户名（User列）可能为空字符串''，也可能包含空格、制表符、不可见Unicode字符（如\u200b、\uFEFF）等。直接用= ''只能匹配纯空字符串，漏掉带空白字符的“伪空”值。
常见误判现象：执行SELECT User, Host FROM mysql.user WHERE User = '';查不到记录，但登录时仍提示“Access denied for user ''@'localhost'”，说明存在隐藏空白字符。
- 用
TRIM(User) = ''捕获首尾空白（含空格、\t、\n、\r） - 用
LENGTH(TRIM(User)) = 0更可靠，避免某些MySQL版本对TRIM处理不可见字符不一致 - 检查特殊字符：运行
SELECT User, HEX(User), LENGTH(User) FROM mysql.user WHERE LENGTH(TRIM(User)) = 0;，观察HEX()输出——比如C2A0是NBSP，EFBBBF是BOM头
安全删除前必须验证Host匹配规则
用户名相同但Host不同，代表完全不同的账户（例如''@'localhost'和''@'%'权限不同）。删错Host会导致意外失权或残留匿名用户。
执行删除前，务必确认目标账户的Host值是否精确匹配——不能只看User。尤其注意%和localhost在MySQL中是两个独立主机名，localhost走socket连接，127.0.0.1走TCP，不可混为一谈。
- 先查全量：
SELECT User, Host, authentication_string FROM mysql.user WHERE LENGTH(TRIM(User)) = 0; - 逐条核对
Host，避免用DELETE FROM mysql.user WHERE User = ''这种无Host限制的语句 - 若需批量删所有“伪空”用户，必须显式带上
AND Host IN ('localhost', '127.0.0.1', '%')等明确范围，禁止无条件WHERE LENGTH(TRIM(User)) = 0
执行删除并刷新权限的正确顺序
直接DELETE操作不会立即生效，MySQL缓存了授权表内容。跳过FLUSH PRIVILEGES会导致已删用户仍能登录（尤其在旧版本或未重启mysqld时）。
典型错误：用DELETE FROM mysql.user WHERE ...后以为完事，结果测试发现空用户名还能连上。
- 先用
DELETE FROM mysql.user WHERE LENGTH(TRIM(User)) = 0 AND Host = 'localhost';（替换为你确认的Host） - 立刻执行
FLUSH PRIVILEGES;，强制重载权限表 - 验证是否清除：
SELECT User, Host FROM mysql.user WHERE LENGTH(TRIM(User)) = 0;应返回空集 - 如果用的是MySQL 8.0+且启用了
caching_sha2_password插件，删完还要留意authentication_string字段是否残留哈希值——虽然User为空，但插件可能仍尝试校验，建议一并清空该字段再FLUSH
为什么不能用UPDATE清空User字段来“修复”
有人想绕过删除，改用UPDATE mysql.user SET User = '' WHERE ...，这是危险操作。MySQL不允许将User设为空字符串（即使当前已是空），部分版本会报错ERROR 1366 (HY000): Incorrect string value；更多时候虽执行成功，但后续FLUSH PRIVILEGES会失败或导致权限系统异常。
根本原因：User是mysql.user表的主键组成部分，空值破坏索引一致性，且MySQL内部对空用户名有特殊处理逻辑（如匿名用户匹配机制），人工干预易引发未定义行为。
- 唯一安全做法是
DELETE+FLUSH PRIVILEGES - 如果担心误删，先用
mysqldump --databases mysql --tables user > user_backup.sql备份原表 - 生产环境务必在维护窗口操作，并确认没有应用正使用
''@xxx这类账号（有些旧脚本会硬编码空用户名）
最常被忽略的是Host的精确性判断和FLUSH PRIVILEGES的强制执行时机——删了表行却不刷缓存，等于没删；而Host写错一个字符，可能删掉不该动的生产账号。
