最直接方法是执行select host, user, plugin, authentication_string from mysql.user where length(trim(authentication_string)) = 0 or authentication_string in ('', '*');，可一次性捕获空密码、占位符及空格伪装等高危账号，需配合user = ''单独检查匿名用户，并区分mysql_native_password（41位哈希）与caching_sha2_password（72位）插件类型以防误判。
查 authentication_string 为空或占位符的账号最直接
MySQL 5.7+ 完全弃用 password 字段，所有密码状态都存在 authentication_string 里。空密码、未设密码、旧版占位符这三类高危状态，只看这个字段就够了。别去查 password，它在 8.0+ 已被移除，查了也为空。
必须用 TRIM() 包裹字段——攻击者可能用空格填充 authentication_string 来伪装成非空值，绕过基础检测。
-
authentication_string = ''：明示未设密码，可免密登录 -
authentication_string = '*'：MySQL 5.6 及更早版本的未加密占位符，等效于空密码 -
LENGTH(TRIM(authentication_string)) = 0：覆盖 NULL、全空格等边缘情况
执行这条语句即可一次性捕获：
SELECT host, user, plugin, authentication_string FROM mysql.user WHERE LENGTH(TRIM(authentication_string)) = 0 OR authentication_string IN ('', '*');
重点盯防 user = '' 的匿名用户
空用户名 + 空密码 = 最危险的默认入口。这类账号不依赖用户名就能匹配连接请求，尤其当 host 是 'localhost' 或 '%' 时，极易被本地提权或远程扫描利用。
不能只查 authentication_string，必须叠加 user = '' 条件，因为有些匿名账号即使设置了弱哈希，其原始密码仍是空或单字符，而 authentication_string 字段可能因插件差异显示为非空但无效值。
- 执行：
SELECT host, user, authentication_string FROM mysql.user WHERE user = ''; - 结果中每条记录都要单独处理，
DROP USER ''@'host'必须写全''@'localhost'这种格式，漏掉@'host'会报错ERROR 1396 - 删之前先跑
SELECT USER(), CURRENT_USER();，确认你当前没正通过该匿名账号登录，否则删完就锁死
区分插件类型，避免误判 mysql_native_password 和 caching_sha2_password
同一明文密码，在不同认证插件下生成的哈希长度和格式完全不同。拿 mysql_native_password 的 41 位哈希去比对 caching_sha2_password 用户，永远不匹配；反过来也一样。不区分插件直接筛长度，会漏掉大量真实弱口令。
-
mysql_native_password下合法强密码哈希固定为 41 位（如'*6BB4837EB74329105EE4568DDA7DC67ED2CA2AD9'），若长度 '1'、'123'这类明文 -
caching_sha2_password（MySQL 8.0 默认）下哈希是 72 位 Base64 字符串，空值或短值同样危险，但判断逻辑不同 - 初筛建议分插件执行：
WHERE plugin = 'mysql_native_password' AND LENGTH(authentication_string) ，再单独查 <code>caching_sha2_password用户是否为''或'*'
删完必须 FLUSH PRIVILEGES 并验证残留
DROP USER 虽然内部会刷新部分权限缓存，但在某些版本（尤其是启用了角色或动态权限的 8.0+）中，权限元数据可能滞后。不显式执行 FLUSH PRIVILEGES，旧的空密码账号仍可能被新连接命中。
删除后别信“已经删了”，必须立刻验证：
- 再跑一遍初始查询：
SELECT user, host FROM mysql.user WHERE user = '' OR LENGTH(TRIM(authentication_string)) = 0;，结果应为空集 - 检查是否有看似合法、实则等效的账号：
SELECT host, user FROM mysql.user WHERE user REGEXP '^[[:space:]]*$';，排除空格、制表符等伪装 - 如果环境启用了
validate_password插件，顺手确认策略已生效：SHOW VARIABLES LIKE 'validate_password%';，重点看validate_password.length是否 ≥12
真正麻烦的不是查不到，而是查到了却没意识到 ''@'localhost' 正是你当前登录所用账号——删之前不看 CURRENT_USER()，一删就断连。
