MySQL防火墙插件需手动安装启用且仅企业版支持，必须设mysql_firewall_mode=PROTECTING才生效，白名单需经RECORDING阶段积累，模式切换仅对新连接生效。
mysql firewall插件没启用，mysql_firewall 表根本查不到
插件不加载，后续所有策略配置都是空谈。MySQL 默认不启用 mysql_firewall 插件，得手动安装并开启。
- 先确认 MySQL 版本 ≥ 5.7.19（仅企业版支持，社区版无此插件）——运行
SELECT VERSION();查版本，再查官方文档确认是否含 firewall 模块 - 登录后执行：
INSTALL PLUGIN mysql_firewall SONAME 'mysql_firewall.so';，失败常见原因是插件文件缺失或路径不对（plugin_dir路径需包含该 so 文件） - 启用后必须设
mysql_firewall_mode = ON，否则插件处于“只记录不拦截”状态，等同于没开 - 检查是否生效：
SELECT * FROM performance_schema.PLUGINS WHERE PLUGIN_NAME = 'mysql_firewall';，状态必须是ACTIVE
开了插件但 SQL 还是能乱跑，mysql_firewall_mode 设错模式了
防火墙有三种模式：OFF、RECORDING、PROTECTING。只有 PROTECTING 才真正拦截非法语句；RECORDING 只建白名单，不拦任何东西。
-
SET GLOBAL mysql_firewall_mode = 'RECORDING';是必经阶段：让应用跑一阵，自动收集合法 SQL 模式，生成到mysql.firewall_whitelist表里 - 切到
PROTECTING前务必确认白名单已覆盖主业务路径，否则登录即报错ERROR 1890 (HY000): Statement violates firewall rule - 模式切换后，新连接才生效；已有连接仍按旧模式走，别以为改完立刻全量拦截
- 临时关闭防护用
SET GLOBAL mysql_firewall_mode = 'OFF';，但别长期开着，等于裸奔
白名单里一堆 INSERT INTO t1 VALUES (?)，但实际执行 INSERT INTO t1 VALUES (123) 却被拦
firewall 不做参数值匹配，只比对“标准化后的 SQL 模式”。括号里的问号、数字、字符串字面量都会被替换成占位符，但表名、列名、关键字大小写、空格数量、注释位置都影响模式哈希值。
- 同一逻辑的 SQL，如果开发用了 ORM 自动生成（比如 Hibernate 加了
/* ApplicationName=xxx */），或手工写了带换行/多余空格的语句，就会生成不同白名单条目 - 查看当前匹配模式：
SELECT MODE, SQL_TEXT, SQL_ID FROM mysql.firewall_whitelist WHERE USERHOST = 'user@host';，对比被拦语句的SQL_ID是否在表中 - 不要手动 INSERT 到
firewall_whitelist表——它只读；想补漏，得切回RECORDING模式重跑一次该操作 - DDL 语句（如
CREATE TABLE）默认不进白名单，需显式允许：设mysql_firewall_always_allow_sql = 'CREATE TABLE|DROP TABLE'
误拦导致业务中断，怎么快速恢复又不关防火墙
最稳妥的做法不是关插件，而是临时放宽策略范围，同时定位真实异常点。
- 查最近被拒语句：
SELECT * FROM performance_schema.mysql_firewall_violation_log ORDER BY EVENT_TIME DESC LIMIT 10;，注意SQL_ID和USERHOST - 针对特定用户放行：用
CALL mysql.sp_set_firewall_user_mode('user@host', 'OFF');，该用户后续连接跳过防火墙（适合 DBA 账号或运维通道） - 全局临时降级：
SET GLOBAL mysql_firewall_mode = 'RECORDING';，现有连接继续 PROTECTING，新连接开始攒新样本，不会立即中断 - 插件本身不能热卸载，
UNINSTALL PLUGIN mysql_firewall;会强制断开所有连接，生产环境慎用
firewall 插件的“模式切换 + 白名单积累”过程没法跳步，也没法靠配置一劳永逸。最常出问题的地方，是 RECORDING 阶段没跑够真实流量，或者 PROTECTING 后没监控 violation_log 就上线。别信“设完就安全”，得盯几天日志，看哪些 SQL ID 反复出现又被拦。
