确认是否存在匿名用户
匿名用户的特征是
user字段为空字符串（
''），比如
''@'localhost'或
''@'127.0.0.1'。不查清楚就删，可能误操作；查了没删，等于白看。 登录 MySQL（需有
SUPER或对
mysql库的
SELECT权限）：
mysql -u root -p执行查询：
SELECT user, host FROM mysql.user WHERE user = '';若返回结果非空，说明存在匿名用户 —— 这不是警告，是已存在的风险点
安全删除匿名用户（版本差异必须注意）
DROP USER是 MySQL 5.7+ 的标准方式，它会同时清理用户记录和权限；而老版本（如 5.6）不支持该语句对空用户名的操作，硬用会报错
ERROR 1396 (HY000): Operation DROP USER failed。 MySQL 5.7 及以上（推荐）：
DROP USER ''@'localhost';
DROP USER ''@'127.0.0.1';
DROP USER ''@'::1';（别漏 IPv6 地址） MySQL 5.6 或更早：
DELETE FROM mysql.user WHERE user = '';
之后**必须**执行
FLUSH PRIVILEGES;，否则删了也无效 删完立刻再跑一遍
SELECT user, host FROM mysql.user WHERE user = '';验证是否清零
为什么不能只靠 mysql_secure_installation
？
这个脚本确实能自动删匿名用户，但它只在首次运行时生效，且依赖你当时记得执行。生产环境里，它常被跳过、中断，或在离线部署/容器初始化中根本没跑过。
脚本不会修复已存在的''@'%'（远程匿名用户），除非你手动选“Remove anonymous users”并确认 如果数据库是从旧备份恢复的，或通过复制/导入创建了新实例，脚本不会二次触发 某些自动化部署工具（如 Ansible playbook、Dockerfile）漏掉这步，上线即带匿名账户 建议把它写进运维巡检脚本，而非仅当作“安装后一次性操作”
防再生：避免下次又冒出空用户
匿名用户不是凭空出现的，而是人为操作或初始化疏漏的结果。禁用一次不等于一劳永逸。
永远不要写类似GRANT SELECT ON *.* TO '@localhost';这种省略用户名的授权语句 —— 它会悄悄创建
''@'localhost'禁止普通应用账号拥有
mysql.user表的
INSERT或
DELETE权限，否则任意应用漏洞都可能被用来造匿名用户 初始化 MySQL 后第一件事不是建库，而是立即运行
mysql_secure_installation或等效 SQL 清理步骤 检查配置文件中是否有
skip-grant-tables，开启它等于临时关闭所有权限校验，重启后若忘记关，就会导致空用户泛滥
真正难的不是执行那几条
DROP USER，而是让“没有空用户”成为每次部署、每次迁移、每次权限变更时的默认状态。漏一次，就可能给攻击者留出不需要密码就能连进数据库的后门。
