存在匿名用户：user字段为空字符串（如''@'localhost'），需用select确认；mysql 5.7+用drop user删除，5.6及以下需delete+flush privileges；mysql_secure_installation不可靠，须纳入常态化巡检。
确认是否存在匿名用户
匿名用户的特征是 user 字段为空字符串（''），比如 ''@'localhost' 或 ''@'127.0.0.1'。不查清楚就删，可能误操作；查了没删，等于白看。
- 登录 MySQL（需有
SUPER或对mysql库的SELECT权限）：mysql -u root -p - 执行查询：
SELECT user, host FROM mysql.user WHERE user = ''; - 若返回结果非空，说明存在匿名用户 —— 这不是警告，是已存在的风险点
安全删除匿名用户（版本差异必须注意）
DROP USER 是 MySQL 5.7+ 的标准方式，它会同时清理用户记录和权限；而老版本（如 5.6）不支持该语句对空用户名的操作，硬用会报错 ERROR 1396 (HY000): Operation DROP USER failed。
- MySQL 5.7 及以上（推荐）：
DROP USER ''@'localhost';DROP USER ''@'127.0.0.1';DROP USER ''@'::1';（别漏 IPv6 地址） - MySQL 5.6 或更早：
DELETE FROM mysql.user WHERE user = '';
之后**必须**执行FLUSH PRIVILEGES;，否则删了也无效 - 删完立刻再跑一遍
SELECT user, host FROM mysql.user WHERE user = '';验证是否清零
为什么不能只靠 mysql_secure_installation？
这个脚本确实能自动删匿名用户，但它只在首次运行时生效，且依赖你当时记得执行。生产环境里，它常被跳过、中断，或在离线部署/容器初始化中根本没跑过。
- 脚本不会修复已存在的
''@'%'（远程匿名用户），除非你手动选“Remove anonymous users”并确认 - 如果数据库是从旧备份恢复的，或通过复制/导入创建了新实例，脚本不会二次触发
- 某些自动化部署工具（如 Ansible playbook、Dockerfile）漏掉这步，上线即带匿名账户
- 建议把它写进运维巡检脚本，而非仅当作“安装后一次性操作”
防再生：避免下次又冒出空用户
匿名用户不是凭空出现的，而是人为操作或初始化疏漏的结果。禁用一次不等于一劳永逸。
- 永远不要写类似
GRANT SELECT ON *.* TO '@localhost';这种省略用户名的授权语句 —— 它会悄悄创建''@'localhost' - 禁止普通应用账号拥有
mysql.user表的INSERT或DELETE权限，否则任意应用漏洞都可能被用来造匿名用户 - 初始化 MySQL 后第一件事不是建库，而是立即运行
mysql_secure_installation或等效 SQL 清理步骤 - 检查配置文件中是否有
skip-grant-tables，开启它等于临时关闭所有权限校验，重启后若忘记关，就会导致空用户泛滥
真正难的不是执行那几条 DROP USER，而是让“没有空用户”成为每次部署、每次迁移、每次权限变更时的默认状态。漏一次，就可能给攻击者留出不需要密码就能连进数据库的后门。
