PHP数据库审计方案基于PDO拦截+中间件+结构化日志，实现无侵入、零扩展、全框架兼容；统一封装层拦截SQL，记录上下文与风险标记；JSON Lines格式日志按日轮转，敏感SQL哈希化；实时告警高频失败、非常规DDL及大结果集；异步写入、账号分离、90天日志留存。
PHP 应用的数据库访问行为需要可追溯、可分析、可告警，核心在于不侵入业务逻辑、不依赖扩展、兼容主流框架、日志结构化且低开销。以下方案基于 PDO 拦截 + 中间件 + 日志标准化实现，已在 Laravel、ThinkPHP 及原生 PDO 项目中验证有效。
一、统一 PDO 封装层拦截 SQL 执行
避免在每个 DB 操作处手动记录，改由封装的 PDO 类或代理对象统一拦截：
- 继承
PDO或使用PDOStatement代理，在prepare()和execute()中提取 SQL、绑定参数、执行耗时、影响行数 - 自动补充上下文：当前路由（如
POST /api/user/123）、用户 ID（从 session 或 token 解析）、IP、PHP 进程 ID、TraceID（若已集成链路追踪） - 敏感操作标记：对包含
DELETE、DROP、UPDATE.*WHERE.*=.*NULL等模式的语句打上high_risk: true
二、结构化日志格式与落盘策略
日志不写 echo 或 error_log，采用标准 JSON 行格式（JSON Lines），便于 ELK 或 Loki 收集分析：
- 字段示例：
{"time":"2024-06-15T10:22:34+08:00","sql":"UPDATE users SET status=? WHERE id=?","params":[1,123],"duration_ms":12.7,"rows_affected":1,"route":"/admin/user/update","uid":889,"ip":"192.168.3.12","risk":"medium"} - 按日切分文件，路径如
/var/log/php/db-audit-2024-06-15.log；单文件超 100MB 自动轮转 - 生产环境禁用
SQL原文记录（防敏感数据泄露），改用哈希标识（如"sql_hash": "sha256:abc123..."），搭配独立 SQL 映射表用于审计回溯
三、关键行为实时告警机制
不依赖后台扫描，通过轻量级钩子触发实时响应：
立即学习“PHP免费学习笔记（深入）”；
- 高频失败检测：同一 IP 或 UID 在 60 秒内出现 ≥5 次 SQL 错误（如
SQLSTATE[42S22]），立即推送企业微信/钉钉告警 - 非常规时间操作：工作日 23:00–06:00 或周末执行 DDL（
CREATE/ALTER/DROP），记录并通知 DBA - 大结果集预警：查询返回行数 > 10000 且未带
LIMIT，记录并标记full_scan:true
四、审计合规与最小权限适配
日志本身需满足安全审计要求，同时不影响线上稳定性：
- 日志写入异步化：使用
file_put_contents(..., FILE_APPEND | LOCK_EX)保证原子性；高并发场景可投递至 Redis List，由独立消费者进程批量刷盘 - 数据库账号分离：应用连接 DB 使用只读/普通账号；审计日志写入独立日志库（如
audit_log），该库仅开放 INSERT 权限 - 保留周期策略：原始日志保留 90 天，聚合统计（如慢 SQL TOP10、风险操作周报）保留 2 年，符合等保 2.0 日志留存要求
方案不依赖 Zend 扩展或 Xdebug，纯 PHP 实现，平均增加单次查询耗时
