确认真正匿名用户需查user=''而非is null，因匿名用户本质是空字符串；常见形式包括''@'localhost'等，须用drop user安全删除并同步清理权限表。
怎么确认哪些是真正的匿名用户
匿名用户的本质是 User 字段为空字符串 ''，不是 NULL。用 SELECT User, Host FROM mysql.user WHERE User = ''; 才能查全——写成 IS NULL 会漏掉所有目标。
常见组合包括：''@'localhost'、''@'127.0.0.1'、''@'::1'、''@'%'。这些都得逐个处理，不能只删一个就以为完事。
特别注意：Ubuntu/Debian 系统里 root@localhost 常用 auth_socket 插件登录，看起来像“免密”，但它不是匿名用户。验证方式是：SELECT User, Host, plugin FROM mysql.user WHERE User = 'root' AND Host = 'localhost';。如果 plugin 是 auth_socket，别误删，那是正常行为。
为什么必须用 DROP USER 而不是 DELETE FROM mysql.user
DROP USER 是唯一安全路径。它不只是删 mysql.user 表，还会同步清理 mysql.db、mysql.tables_priv、mysql.proxies_priv 等所有权限关联表，并自动重载内存缓存。
而 DELETE FROM mysql.user WHERE User = '' 是高危操作：
- 残留权限表记录，导致后续
CREATE USER报ERROR 1396 (HY000) - 权限缓存不一致，可能连不上库或权限不生效
- MySQL 8.0+ 启动时会校验
mysql.user结构，强行删空User行可能引发初始化异常
MySQL 5.7+ 必须写全 'user'@'host' 格式，DROP USER ''@'localhost' 不能省略引号和 host；8.0+ 更严格，host 值必须完全匹配查询结果（大小写、IP 形式、IPv6 写法都不能错）。
删完测试用户后 test 数据库还在怎么办
DROP USER 只删账号，不碰数据库。测试用户如 'test'@'localhost' 或 'test'@'%' 删掉后，test 库本身仍存在，且可能被其他用户（比如 root）有访问权。
清理步骤要分两步走：
- 先删账号：
DROP USER IF EXISTS 'test'@'localhost', 'test'@'%'; - 再删库：
DROP DATABASE IF EXISTS test;
顺带检查是否还有残留授权：SELECT * FROM mysql.db WHERE Db = 'test';。如果有，说明之前用 GRANT 直接授过库级权限，得用 DROP DATABASE 后再 FLUSH PRIVILEGES 确保彻底清零。
删完连不上 root 怎么快速恢复
这不是删错了，而是 root 用户的 host 匹配失效了。比如你只有 'root'@'localhost'，但客户端走的是 TCP（127.0.0.1），结果匹配不到，报错“Access denied”。
紧急恢复路径很窄：
- 优先用 socket 强制登录：
mysql -u root -S /var/run/mysqld/mysqld.sock（Linux）或mysql -u root --socket=/tmp/mysql.sock（macOS） - 进库后查真实 root 条目：
SELECT User, Host FROM mysql.user WHERE User = 'root'; - 补缺失 host：
CREATE USER 'root'@'127.0.0.1' IDENTIFIED BY 'your_password'; GRANT ALL ON *.* TO 'root'@'127.0.0.1' WITH GRANT OPTION;
别用 FLUSH PRIVILEGES 替代 CREATE USER + GRANT，MySQL 8.0+ 的权限变更必须显式授权，否则不会生效。
真正容易被忽略的点：有些监控脚本或老旧部署工具硬编码了 -u '' -h localhost，删完匿名用户就直接断连。上线前务必确认业务侧没依赖空用户名——这比删错更难排查。
