必须删除匿名用户而非回收权限，因mysql 5.7内核禁止对user=''执行revoke或grant；需用drop user逐条删除''@'localhost'等记录，再flush privileges并验证连接失败。
不能回收匿名用户的全局访问权限——必须删除，而不是授权或撤销。
为什么 REVOKE 对匿名用户无效
MySQL 5.7 明确禁止对 user = '' 的账户执行 GRANT 或 REVOKE。任何类似 REVOKE ALL PRIVILEGES ON *.* FROM ''@'localhost' 的语句都会报错：ERROR 1410 (42000): You are not allowed to create a user with GRANT（或直接忽略、无提示失败）。这不是语法写错，而是内核级限制：空用户名不被视作合法的授权目标。
原因在于权限匹配逻辑——MySQL 在认证阶段会优先匹配 ''@host 这类宽泛记录；一旦命中，后续权限检查就基于该记录的字段值（通常全为 N 或空），但这些字段无法通过标准权限命令修改。
- 试图用
SHOW GRANTS FOR ''@'localhost'查看权限？常返回空或报错ERROR 1141 -
SELECT * FROM mysql.user WHERE user = ''才是唯一可靠确认方式 - 即使该记录的
Select_priv、Insert_priv字段显示为Y，也不代表它“拥有”这些权限——那是初始化残留值，实际行为由认证路径决定
如何准确定位所有匿名用户记录
匿名用户只由 user = '' 这一条件定义，和 host 值无关。常见组合包括：''@'localhost'、''@'127.0.0.1'、''@'::1'、''@'%'。跳过任意一个都可能留下隐患。
- 执行：
SELECT user, host, authentication_string FROM mysql.user WHERE user = '' - 注意：
user = NULL或user LIKE ''都不生效，必须用严格等号 - 如果启用了
skip-name-resolve，'localhost'和'127.0.0.1'不等价，必须分别处理 - 结果为空？说明无需操作，直接退出
删除匿名用户的正确步骤（5.7+ 强制要求）
必须用 DROP USER，且每个 host 都要显式写出。旧版 DELETE FROM mysql.user + FLUSH PRIVILEGES 在 5.7+ 中不可靠，容易导致权限缓存不一致或残留状态。
- 逐条执行（示例）：
DROP USER ''@'localhost';、DROP USER ''@'127.0.0.1';、DROP USER ''@'::1'; - 若存在
''@'%'，也必须单独执行：DROP USER ''@'%';（不能省略引号，也不能写成@'%'） - 每删一条后，建议立即验证：
SELECT user, host FROM mysql.user WHERE user = '';应返回空集 - 最后执行：
FLUSH PRIVILEGES;—— 否则缓存未更新，mysql -u '' -h localhost仍可能连得进去
删完之后最易被忽略的验证点
很多人删完就以为万事大吉，但没验证等于没做。重点不是看 mysql.user 表是否清空，而是看连接行为是否真正改变：
- 用匿名方式尝试连接：
mysql -u '' -h 127.0.0.1 -P3306 -e "SELECT CURRENT_USER();"，应报错Access denied - 登录后执行：
SELECT CURRENT_USER(), USER();——CURRENT_USER()必须不返回空用户名 - 检查是否还有其他账号误配了宽泛
host（如'dev'@'%'）并拥有过高权限，这类才是真正的“权限过大”，而非匿名用户
