MySQLユーザーを削除すると、空のパスワードでそのユーザーとしてログインすることができます

Question

パスワードを使用してlocalhostユーザーを作成し、すべてのテーブルにすべての権限を与えて削除すると、Arch LinuxでMySQL 5.5を使用しますパスワードを入力しなくてもそのユーザーとしてログインすることができます。再現する

ステップ：

# mysql -u root -h localhost -p 
    Enter password: <root password> 

mysql> create user 'test'@'localhost' identified by 'testing123'; 
mysql> grant all on *.* to 'test'@'localhost' identified by 'testing123'; 
mysql> select * from mysql.user where user='test'; 
     1 row in set (0.00 sec) 
mysql> exit 

# mysql -u test -h localhost -p 
    Enter password: testing123 

mysql> show databases; 
mysql> exit 

# mysql -u root -h localhost -p 
    Enter password: <root password> 

mysql> delete from mysql.user where user='test'; 
     Query OK, 1 row affected (0.00 sec) 
mysql> FLUSH PRIVILEGES; 
mysql> select * from mysql.user where user='test'; 
     Empty set (0.00 sec) 
mysql> exit 

# mysql -u test -h localhost 

mysql> (Why?) 

それだけではなく、「存在しない」テストユーザーがまだ同じ権限のすべてを行使することができます。主なセキュリティ問題。サーバーを再起動しても、パスワードなしでログインできます。

Answer 1

私は最終的に何が起こっていたのか把握しました。デフォルトでは、userテーブルには匿名のuser @ localhostがあります。このユーザーは、試行されたユーザー名と自動的に照合され、その匿名ユーザーとしてログインします。奇妙なもの、私は知っている。 rootとして匿名ユーザー、ログインを取り除くと、以下のコマンドを実行するには：; `再び今、あるルートと問題としてログインした場合、ユーザー=「テスト」のどこ

drop user ''@localhost;