MySQL 8.0.19+ 启用 audit_log 插件需确认版本与编译支持，安装插件并配置 my.cnf 中 plugin_load_add、audit_log=FORCE_PLUS_PERMANENT 等参数，重启后验证 ACTIVE 状态；日志格式推荐 JSON（逐行解析），策略 ALL 不捕获 mysqldump、存储过程动态 SQL 和复制线程操作；须注意文件权限、自动轮转及安全合规要求。
MySQL 8.0+ 自带 audit_log 插件怎么启用
MySQL 官方审计插件 audit_log 从 5.7.17 开始提供，但真正稳定可用、参数可控是在 8.0.19+。它不记录 SQL 内容（比如 DELETE FROM users WHERE id=1），只记录连接、断开、查询开始/结束等事件类型和元数据——这点很多人一开始没注意，结果以为“没生效”。
启用前先确认版本：SELECT VERSION();，低于 8.0.19 建议升级或换第三方方案（如 MariaDB 的 server_audit）。
- 检查插件是否已编译支持：
SHOW VARIABLES LIKE 'have_audit_log';，返回YES才能继续 - 加载插件：
INSTALL PLUGIN audit_log SONAME 'audit_log.so';（Linux）或'audit_log.dll'（Windows） - 关键配置必须写进
my.cnf（仅靠 SET 不持久）：plugin_load_add = audit_log.so audit_log = FORCE_PLUS_PERMANENT audit_log_format = JSON audit_log_policy = ALL audit_log_file = /var/lib/mysql/audit.log
- 重启 MySQL 生效；运行
SELECT PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME = 'audit_log';确认状态为ACTIVE
audit_log_format=JSON 和 NEWLINE 的实际差异
audit_log_format 设成 JSON 是最常用选择，但得清楚它不是标准 JSON 数组——每行是一个独立 JSON 对象，没有逗号分隔，也不能直接 cat audit.log | jq 解析整文件。设成 NEWLINE 则是纯文本，字段用制表符分隔，人眼可读但难解析。
-
JSON格式适合用 Logstash、Filebeat 或自定义脚本逐行解析（Python 里用json.loads(line)即可） -
NEWLINE在调试时更直观，但字段顺序依赖 MySQL 版本，8.0.23 后新增了sql_command字段，旧脚本可能错位 - 别设
OLD格式——它已被弃用，且不包含用户账号、主机等关键字段 - 日志体积：JSON 比 NEWLINE 大约多 30%～50%，高并发下磁盘 IO 明显，建议配合
audit_log_rotate_on_size自动轮转
audit_log_policy=ALL 为什么反而漏掉某些操作
audit_log_policy = ALL 看似“全量”，但它只审计通过 MySQL 协议进入的连接行为，对以下场景完全无感：
- mysqldump、mysqlpump 等客户端工具执行的语句，只要没触发
QUERY事件（比如只连不查），就不会记 - 存储过程内部的动态 SQL（
PREPARE+EXECUTE）默认不单独记录，只记外层 CALL - 复制线程（
io_thread/sql_thread）的操作不会被审计，主从切换时容易形成盲区 - 如果用户用
mysql --defaults-file隐藏密码登录，audit_log仍能记录用户名和 host，但无法关联到具体配置文件来源
真要捕获 SQL 文本，得上企业版的 MySQL Enterprise Audit（支持 audit_log_include_accounts 和细粒度过滤），或改用代理层（如 ProxySQL）+ 查询日志组合方案。
audit.log 文件权限和轮转的坑
MySQL 进程（通常是 mysql 用户）必须对 audit_log_file 路径有写权限，且不能放在 /tmp 这类可能被定时清理的目录——否则某天发现日志突然不写了，大概率是文件被删但句柄还挂着，新内容写不进去。
- 轮转必须用
audit_log_rotate_on_size+audit_log_rotations，别指望 logrotate 直接mv或gzip——MySQL 不会自动 reopen 新文件，会导致日志丢失 - 正确做法：设
audit_log_rotate_on_size = 10485760（10MB），audit_log_rotations = 5，MySQL 自己管理audit.log、audit.log.1…audit.log.5 - 手动触发轮转：
FLUSH AUDIT_LOG;，可用于上线前归档或应急截断 - 日志默认不加密、不压缩，敏感字段（如用户名）明文可见，若合规要求高，需在落盘后由外部程序加密或脱敏
审计日志不是开关一开就万事大吉，它本身不校验完整性，文件可被篡改；真要满足等保三级，得搭配文件完整性监控（如 AIDE）或把日志实时推送到远程 SIEM。
