先确认是否存在匿名用户，再执行删除：select user, host from mysql.user where user = '';若返回空则无需操作；否则mysql 5.7+用drop user ''@'localhost'等并flush privileges，5.6及以下用delete from mysql.user where user = ''后必须flush privileges；删完须查表和实连双重验证，并检查root密码、bind-address及权限最小化。
先确认有没有匿名用户，别白忙活
很多人一上来就删 DROP USER ''@'localhost'，结果报错 ERROR 1396 (HY000)——因为压根没这个用户。MySQL 里的“匿名用户”特指 User = ''（空字符串），不是 NULL，也不是 'anonymous'。执行这句就能准确定位：
SELECT User, Host FROM mysql.user WHERE User = '';
如果返回空结果，说明没有匿名用户，后续所有删除操作都可跳过。尤其 MySQL 8.0+ 默认安装已跳过创建匿名用户这步；你要是离线安装、或从 5.6 升级上来的，才更可能遇到。
删法要看 MySQL 版本，乱用会失败
MySQL 5.7+ 必须用 DROP USER，不能只 DELETE FROM mysql.user；而 MySQL 5.6 及更早版本不支持 DROP USER ''@'host'（语法报错），只能走表删法。实操建议如下：
- MySQL 5.7 及以上（推荐）：
DROP USER ''@'localhost';<br>DROP USER ''@'127.0.0.1';<br>DROP USER ''@'::1';<br>FLUSH PRIVILEGES;
- MySQL 5.6 或更低（兼容兜底）：
DELETE FROM mysql.user WHERE User = '';<br>FLUSH PRIVILEGES;
注意：只删表不FLUSH PRIVILEGES，权限缓存不会更新，删了也白删——你立刻mysql -u '' -h localhost还能连进去。
删完必须验证，否则等于没做
删完不是就结束了。得双重验证：
- 查表确认：
SELECT User, Host FROM mysql.user WHERE User = '';
必须返回空集； - 实连测试：
mysql -u '' -h 127.0.0.1 -P3306应该直接报错Access denied； - 顺手检查 root 是否空密码：
SELECT User, Host, authentication_string FROM mysql.user WHERE User = 'root';
若authentication_string是空或*（MySQL 5.7），说明真正的问题是 root 没设密码——这才是多数人误以为“匿名登录成功”的真实原因。
配套动作不能少，否则禁用只是假象
禁用匿名用户只是安全加固的第一步。常见疏漏包括：
-
bind-address = 0.0.0.0或配置被注释掉，导致 MySQL 监听公网，哪怕没匿名用户，攻击者也能爆破其他账号； - 留着
root@'%'且密码弱，比匿名用户还危险； - 没运行
mysql_secure_installation，它能自动处理匿名用户、test 库、远程 root 等一揽子问题； - 应用仍用
root连接，一旦泄露就是全库沦陷——应为每个服务建专用用户，如CREATE USER 'app1'@'localhost' IDENTIFIED BY 'xxx';，再按需授权。
最常被忽略的其实是验证环节：删完不测连接、不查 user 表、不看 bind-address，等于在门上贴张“禁止入内”纸条，却把钥匙留在门把手上。
