必须删除而非禁用匿名用户，因其无密码、可直连；应执行select user,host from mysql.user where user='';查出后用drop user ''@'host';逐个删除，并flush privileges验证生效。
MySQL 中不存在“设置匿名用户禁止登录”这种操作 —— 匿名用户本身就是不该存在的账户，必须删除，而不是禁用。 它没有密码、不校验身份，只要匹配上 ''@'localhost' 这类记录，就能直接进库。所谓“禁止登录”，只是在权限层面做限制，但根本挡不住连接和初始认证阶段的绕过。真正要做的，是清零、验证、防再生。
怎么确认当前有没有匿名用户
别猜，直接查表。匿名用户的本质是 User 字段为空字符串（''），不是 NULL，也不是 'anonymous'：
- 执行
SELECT User, Host FROM mysql.user WHERE User = ''; - 如果返回任意行（比如
''@'localhost'、''@'127.0.0.1'、''@'::1'），就说明存在； - 若结果为空，则无需后续删除操作 —— 尤其 MySQL 8.0+ 默认已跳过创建这步。
删匿名用户必须按 MySQL 版本选命令
版本错，命令就废。MySQL 5.6 和 5.7+ 的语法兼容性断层很明确：
- MySQL 5.7 及以上（含 8.0、9.6）：用
DROP USER，且必须带完整 host：DROP USER ''@'localhost';DROP USER ''@'127.0.0.1';DROP USER ''@'::1'; - MySQL 5.6 或更早：
DROP USER ''@'localhost'会报ERROR 1396 (HY000)，只能走表删：DELETE FROM mysql.user WHERE User = '';
删完**必须立刻**执行FLUSH PRIVILEGES;，否则缓存未更新，照样能连。
删完不验证 = 白删
验证分两层，缺一不可：
- 查表确认：
SELECT User, Host FROM mysql.user WHERE User = '';必须返回空结果集； - 实连测试：
mysql -u '' -h 127.0.0.1 -P3306 -e "SELECT 1;"应该直接报Access denied； - 顺手跑一下
SELECT USER(), CURRENT_USER();：如果返回类似@localhost，说明当前会话实际匹配的是匿名用户 —— 这往往意味着root@localhost被覆盖或缺失，得补上。
容易被忽略的再生风险点
删一次不等于永远安全。匿名用户是“造”出来的，不是“长”出来的：
- 写授权语句时漏掉用户名，比如
GRANT SELECT ON *.* TO '@localhost';，就会悄悄生成''@'localhost'； - 配置文件里开了
skip-grant-tables，重启后没关，所有权限校验失效，INSERT INTO mysql.user也能成功； - 普通应用账号如果拥有
mysql.user表的INSERT权限，一旦被注入或泄露，就能自己造匿名用户； -
mysql_secure_installation只跑一次，容器重建、备份恢复、自动化部署脚本漏掉这步，上线即带坑。
真正的难点不在那几条 DROP USER，而在于把“查—删—验—防”变成常态化动作，嵌进初始化流程和巡检脚本里。否则，你加固的只是上次重启前的状态。
