mysql如何配置数据库审计记录_mysql audit log审计插件

需先确认 audit_log 插件已加载且状态为 active，再配置 audit_log_file（绝对路径）和 audit_log_policy（如 logins），日志格式依版本选 xml 或 json，记录范围默认不含 select，轮转须用 audit_log_flush 通知 mysql 重开文件。

如何确认 MySQL 是否已加载 audit_log 插件

插件没加载，后续所有配置都白搭。先连上 MySQL 执行：

SHOW PLUGINS;

找 audit_log 这一行，Status 必须是 ACTIVE。如果显示 DISABLED 或压根没这行，说明插件没装或没启用。

常见错误现象：改完 my.cnf 重启 MySQL 后，SHOW PLUGINS; 仍看不到 audit_log —— 多半是插件文件路径不对，或者 MySQL 版本不支持（官方 audit_log 插件仅限 MySQL 5.7.20+ 企业版；社区版需用 mariadb 的 server_audit 或第三方如 Percona 的 audit_log）。

• 检查插件路径：SELECT @@plugin_dir;，确认 audit_log.so（linux）或 audit_log.dll（windows）真实存在
• 手动加载试试：INSTALL PLUGIN audit_log SONAME 'audit_log.so';，失败时看错误信息，比如 Can't open shared library 'audit_log.so' 就是路径或架构不匹配
• MySQL 8.0.19+ 默认禁用所有插件，必须显式 INSTALL PLUGIN，不能只靠配置文件

audit_log_file 和 audit_log_policy 怎么设才有效

audit_log_file 是日志落盘位置，audit_log_policy 控制记录哪些操作。这两项必须在 MySQL 启动前通过配置文件设置（my.cnf 的 [mysqld] 段），运行时无法动态修改（SET GLOBAL 会报错）。

容易踩的坑：把 audit_log_file 设成相对路径（比如 audit.log），MySQL 实际会写到数据目录下，而不是你认为的当前目录；更糟的是权限不足——MySQL 进程用户（如 mysql）必须对目标目录有写权限，否则启动失败且无明确提示。

• audit_log_policy = ALL 记所有连接、查询、断开，日志量爆炸，生产环境慎用；LOGINS 只记登录/登出，适合安全合规场景；QUERIES 记所有语句但不含连接事件
• 路径务必用绝对路径：audit_log_file = /var/log/mysql/audit.log，并提前 chown mysql:mysql /var/log/mysql
• MySQL 5.7 中 audit_log_format = NEW_XML 是默认且唯一选项；MySQL 8.0+ 支持 JSON 格式，但需确认插件版本兼容

为什么 audit_log 不记录 SELECT 或某些 DML

不是 bug，是设计行为。audit_log 默认只记录“影响服务器状态”的操作，比如连接、断开、DDL（CREATE/DROP）、用户管理语句（GRANT/REVOKE）。普通 SELECT、INSERT、UPdate 默认不记 —— 因为性能代价太高，且审计重点通常是权限变更和结构变动。

如果真需要记录所有查询（例如等保要求），得换思路：audit_log_policy = ALL 确实能覆盖，但会导致磁盘 IO 暴涨、日志文件飞速膨胀。更现实的做法是结合 general_log（开启后记录所有语句，但无结构化字段）或用代理层（如 ProxySQL）做 SQL 级审计。

• audit_log 不区分用户权限，只要语句被执行就可能触发记录（取决于 policy），但它不解析 SQL 内容，所以无法按表名、关键词过滤
• 想审计敏感表的读写？得靠应用层埋点 + 数据库中间件，或升级到 MySQL 8.0 的 firewall 插件配合规则
• 注意：开启 audit_log 后，每个连接建立都会多一次磁盘写，高并发下延迟明显上升，建议单独挂 SSD 盘并限制日志轮转

audit_log 日志怎么查看和轮转

日志是 XML 或 JSON 格式，直接 cat 或 tail 可读性差。别用文本编辑器硬打开大文件，容易卡死；也别指望 MySQL 自带命令解析 —— 它没有 mysqlauditlog 这种工具（那是 oracle 提供的独立二进制，需额外下载安装）。

真正能落地的方式只有两个：写脚本解析，或用现成的日志收集器。XML 格式可用 xmlstar 命令快速提取字段；JSON 格式推荐 jq。轮转不能靠 logrotate 直接 mv，因为 MySQL 进程还拿着文件句柄，得用 audit_log_flush 命令通知它重新打开新文件。

• 手动轮转步骤：mysql -e "SET GLOBAL audit_log_flush = ON;" → 等几秒 → mv /var/log/mysql/audit.log /var/log/mysql/audit.log.$(date +%Y%m%d) → 再次 SET GLOBAL audit_log_flush = ON（触发新建）
• logrotate 配置里必须加 postrotate ... mysql -e "SET GLOBAL audit_log_flush = ON;" ... endscript，否则旧日志永远不释放磁盘空间
• XML 日志里关键字段：NAME="Connect" 表登录，NAME="Query" 表语句，STATUS="0" 表成功，STATUS="1" 表失败；JSON 则对应 "name":"Connect" 等

事情说清了就结束。最常被忽略的是：audit_log 插件不是开箱即用的功能，它和 MySQL 版本、发行版、编译选项强绑定，社区版用户大概率得自己编译或换方案。