清理僵尸账号需“精准识别+安全删除”：先启用performance_schema.accounts查90天未登录非系统账号，再查account_locked且无权无效密码的“半死”账号，最后检查活跃连接、代理关系、角色绑定三类依赖，必须用drop user而非delete删除并flush privileges。
清理服务器中长期未使用的僵尸账号与权限，核心是“精准识别 + 安全删除”，不能只删用户记录，更不能跳过依赖检查。重点在于区分账号是否真闲置、是否被锁定但未释放、是否被其他角色或服务隐性调用。
查真实闲置账号：靠 performance_schema.accounts，不是 mysql.user
MySQL 不记录登录时间，mysql.user.password_last_changed 是改密时间，不是活跃依据。真正反映连接行为的是 performance_schema.accounts，但它默认不启用：
- 先确认是否开启：
SELECT VARIABLE_VALUE FROM performance_schema.setup_consumers WHERE NAME = 'accounts'; - 若返回
NO，执行：UPDATE performance_schema.setup_consumers SET ENABLED = 'YES' WHERE NAME = 'accounts'; - 查 90 天未认证的非系统账号：
SELECT USER, HOST FROM performance_schema.accounts WHERE USER NOT IN ('mysql.session', 'mysql.sys', 'root') AND LAST_SEEN
注意：新创建但从未登录过的账号不会出现在这张表里——它根本没被“看见”过，需结合其他方式补漏。
揪出“半死”账号：已锁+无权+无效密码
有些账号被 ALTER USER ... ACCOUNT LOCK 或 REVOKE ALL 后就放着不管，它们在 mysql.user 里还挂着，但实际无法使用，属于典型“半死”状态。满足以下三个条件即可识别：
account_locked = 'Y'- 所有基础权限字段（
Select_priv,Insert_priv,Update_priv,Delete_priv,Create_priv,Drop_priv）全为'N' -
authentication_string为空，或以*0/*1开头（表示无效哈希占位符）
执行这条语句可批量定位：SELECT User, Host FROM mysql.user WHERE account_locked = 'Y' AND Select_priv = 'N' AND Insert_priv = 'N' AND Update_priv = 'N' AND Delete_priv = 'N' AND Create_priv = 'N' AND Drop_priv = 'N' AND authentication_string REGEXP '^\*0$|^\*1$|^$';
删账号前必须查清三类隐性依赖
直接 DROP USER 可能导致业务中断，因为账号可能被其他机制间接引用：
-
活跃连接：运行
SELECT ID, USER, HOST, COMMAND, TIME FROM information_schema.PROCESSLIST WHERE USER = 'xxx';，有结果需先KILL -
代理关系：查
mysql.proxies_priv表：SELECT * FROM mysql.proxies_priv WHERE CONCAT(User, '@', Host) = 'xxx@%';，若有记录说明其他账号靠它代理登录 -
角色绑定：查
mysql.role_edges：SELECT FROM_USER, TO_USER FROM mysql.role_edges WHERE TO_USER = 'xxx'@'%';，避免误删被授予的角色主体
必须用 DROP USER，禁用 DELETE FROM mysql.user
绝对不要用 DELETE FROM mysql.user 删除账号——这会导致权限残留、缓存不一致，甚至让后续 CREATE USER 失败。MySQL 的权限体系是多层缓存的，只有 DROP USER 才会同步清理 mysql.db、mysql.tables_priv 等关联表，并刷新权限缓存。
安全删除示例：DROP USER 'old_app'@'192.168.1.%';
删除后建议手动执行：FLUSH PRIVILEGES;（虽通常自动触发，但显式调用更稳妥）。
