phpMyAdmin 不记录操作日志，审计需依赖 MySQL 层：启用 general_log（慎用）、performance_schema（轻量临时）或 audit_log 插件；但因 phpMyAdmin 多数使用共享数据库账号，MySQL 日志无法区分真实终端用户，须结合 HTTP 认证与 Web 日志交叉分析，或改用直连架构。
phpMyAdmin 本身不记录用户操作日志
phpmyadmin 是个纯前端 web 界面，它不保存、也不审计你执行的 select、update 或 drop。所有操作都直接发给 mysql 服务端执行，日志必须从 mysql 层抓取。
所以想审计“谁在 phpMyAdmin 里删了哪张表”，得让 MySQL 记下来——要么开通用查询日志（general_log），要么用更可控的 performance_schema 表或 audit_log 插件（如果已启用）。
开启 MySQL 通用查询日志（general_log）的实操要点
这是最直接的方式，但要小心：它会记录**所有**连接和语句，包括健康检查、监控探针，日志体积增长极快，线上环境慎用。
-
SET GLOBAL general_log = ON可临时开启，但 MySQL 重启后失效；持久化需在配置文件（如/etc/mysql/mysql.conf.d/mysqld.cnf）中加：general_log = 1<br>general_log_file = /var/log/mysql/general.log
- 日志默认写入文件，若设为
TABLE模式（general_log = ON+log_output = 'TABLE'），日志会存进mysql.general_log表，方便 SQL 查询，但该表是CSV引擎，不支持索引，查大日志很慢 - 注意权限：只有
SUPER或SYSTEM_VARIABLES_ADMIN权限用户能开关general_log；普通 phpMyAdmin 用户无法触发或绕过此设置 - 日志里没有“用户名来源”字段，只显示
user@host，而 phpMyAdmin 默认用一个固定数据库账号（比如phpmyadmin）连接 MySQL，所以所有操作看起来都是同一个用户——除非你为每个终端用户配独立 MySQL 账号并改用 HTTP 认证模式（极少见）
用 performance_schema 追踪活跃会话与最近语句（轻量替代方案）
比通用日志更精细、更可控，适合短期排查或低频审计，不写磁盘，性能影响小，但默认只保留最近事件（内存表），且需提前开启相关消费者。
- 确认已启用：
SELECT * FROM performance_schema.setup_consumers WHERE NAME LIKE 'events_statements%';，把对应行的ENABLED设为YES - 查最近执行的语句：
SELECT USER, HOST, QUERY_SAMPLE_TEXT, TIMER_START FROM performance_schema.events_statements_history_long ORDER BY TIMER_START DESC LIMIT 20; - 注意：该表不记录完整 SQL（可能被截断），也不保留执行结果或错误信息；
USER字段反映的是 MySQL 认证用户，不是 phpMyAdmin 的登录名 - 无法回溯历史（超过内存缓冲区就丢弃），不能替代持久化日志；适合“刚出问题，马上看谁干的”这类场景
审计难点：phpMyAdmin 用户身份与 MySQL 用户身份不一致
这是最容易忽略的一环。绝大多数部署中，phpMyAdmin 使用单个高权限 MySQL 账号（如 root 或 pmadb）连接数据库，所有终端用户的操作都以这个账号名义执行。MySQL 日志里只会看到 root@127.0.0.1，根本分不清是张三还是李四点的删除按钮。
立即学习“PHP免费学习笔记（深入）”；
- 唯一能区分真实操作者的方式，是让 phpMyAdmin 启用
$cfg['Servers'][$i]['auth_type'] = 'http'，并配合 Web 服务器做基础认证（如 Apache.htaccess），这样每个请求带Authorization头，MySQL 的HOST字段可能包含 IP，再结合 Web 服务器访问日志（access.log）交叉比对 - 否则，别指望仅靠 MySQL 日志还原出“用户A在phpMyAdmin里执行了DROP TABLE”这种结论——你只能知道“有人通过 phpMyAdmin（即那个共享账号）执行了 DROP TABLE”
- 真正要满足合规审计要求，得换架构：用数据库代理层（如 ProxySQL）或启用 MySQL 企业版的
audit_log插件，并配置audit_log_policy = ALL+audit_log_include_accounts，但它仍不解决“phpMyAdmin 用户名”映射问题
归根结底，MySQL 不知道 phpMyAdmin 那层的用户是谁，它只认自己认证的账号。想审计到人，就得让那个人直接连 MySQL，而不是全挤在 phpMyAdmin 这个“共享通道”里。
