导出特定用户audit_log数据前需先确认日志存储位置：MySQL 8.0+原生插件默认只写文件，企业版才支持写表；PostgreSQL需配置log_destination并解析CSV日志。
导出特定用户的 audit_log 表数据前，先确认日志是否真在数据库里
很多团队默认“开了审计就自动落库”，结果一查 audit_log 表为空——其实 mysql 8.0+ 的原生审计插件（audit_log）默认只写文件，不写表；postgresql 的 pg_audit 也得配 log_destination = 'csvlog' + 外部解析，不是开插件就进表。
实操建议：
- MySQL：检查
SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME = 'audit_log';，再看变量audit_log_policy是否含TABLE（仅企业版支持写表，社区版只能写文件） - PostgreSQL：运行
SHOW shared_preload_libraries;确认含pg_audit，再查pg_settings中pg_audit.log值是否覆盖目标用户行为 - 如果日志实际存在文件中（如
/var/lib/mysql/audit.log），别硬查表，直接用grep或awk提取：grep '"user":"alice"' /var/lib/mysql/audit.log | head -50
用 SQL 精确过滤指定用户的操作记录（MySQL 表模式 / PostgreSQL pg_audit 日志表）
假设你已确认日志进了数据库表（比如 MySQL 企业版的 mysql.audit_log，或自己建的 public.audit_events），核心是字段语义不统一：MySQL 表里用户存于 USER 字段（含主机），PostgreSQL pg_audit 默认不存用户名，得靠 session_user 或关联 pg_stat_activity。
实操建议：
- MySQL（企业版表模式）：
SELECT * FROM mysql.audit_log WHERE USER LIKE 'alice@%';—— 注意不能只写'alice'，因为值是'alice@localhost'格式 - PostgreSQL（自建日志表）：如果字段是
actor_name，直接WHERE actor_name = 'alice'；如果只有application_name或client_addr，就得结合登录时间反查pg_stat_activity，否则会漏掉后台作业类操作 - 时间范围必须加：
AND event_time BETWEEN '2024-05-01' AND '2024-05-31'，否则大表全扫可能锁表或超时
mysqldump 和 pg_dump 导出时绕过权限与格式陷阱
直接 mysqldump -u root mysql audit_log 很容易失败：一是 mysql.audit_log 表受权限限制（普通账号看不到），二是导出内容含大量 JSON 字段，缺 --skip-extended-insert 会导致单行超长、导入报错。
实操建议：
- MySQL：用
SELECT ... INTO OUTFILE更可控：SELECT * FROM mysql.audit_log WHERE USER LIKE 'alice@%' INTO OUTFILE '/tmp/alice_audit.csv' FIELDS TERMINATED BY ',' ENCLOSED BY '"' LINES TERMINATED BY '\n';—— 要求 MySQL 有写入/tmp权限且secure_file_priv允许该路径 - PostgreSQL：别用
pg_dump -t audit_events全量导，改用psql -c "COPY (SELECT * FROM audit_events WHERE actor_name='alice') TO '/tmp/alice.csv' WITH CSV HEADER;"——COPY支持条件过滤，且避免pg_dump把序列、索引等冗余结构一起拖出来 - 导出后立刻校验行数：
wc -l /tmp/alice.csv对比 SQLCOUNT(*)，防止因字符集（如 UTF-8 BOM）或换行符导致截断
备份文件里藏着时间戳乱码和敏感字段泄露风险
审计日志导出后，常发现 CSV 里时间字段是 2024-05-20T03:17:22Z 这种 ISO 格式，Excel 打开直接变数字；更麻烦的是，某些系统把完整 SQL（含密码、token）记进了 query 字段，一发邮件就违规。
实操建议：
- 导出前清洗时间字段：
DATE_FORMAT(event_time, '%Y-%m-%d %H:%i:%s')（MySQL）或to_char(event_time, 'YYYY-MM-DD HH24:MI:SS')（PG），别依赖客户端转换 - 敏感字段必须脱敏：
REPLACE(query, 'password=', 'password=[REDACTED]')或正则替换 API key 模式（如ak_[a-zA-Z0-9]{32}） - 别用共享目录存原始备份，
/tmp导出后立即chmod 600 /tmp/alice.csv，再压缩加密：gpg --symmetric --cipher-algo AES256 alice.csv
真正难的不是导出动作本身，而是搞清日志源头在哪、字段含义是否可信、以及导出后谁还能访问那个文件——这三个环节断一个，审计就失去意义。
