phpMyAdmin 本身不记录操作日志，审计需从数据库层实现：MySQL 启用 general_log（临时回溯）或 MariaDB 启用 server_audit 插件（推荐），并结合元数据核查账户状态、权限及触发器等前置控制手段。
phpMyAdmin 默认不记录操作日志，别白费劲翻配置文件了
phpmyadmin 本身没有内置操作审计功能，config.inc.php 里找不到类似 $cfg['logsql'] 或 enable_audit_log 这种开关。它不是数据库，只是个 web 前端，所有 sql 最终发给 mysql/mariadb 执行——所以日志必须从数据库服务层抓，不是从 phpmyadmin 层。
常见错误现象：
• 在 phpMyAdmin 的 ./logs/ 目录下什么也没找到
• 启用了 $cfg['SaveDir']，但那只是保存导出的 SQL 文件，不是操作记录
• 误以为开启 $cfg['Servers'][$i]['auth_type'] = 'cookie' 就能自动留痕
- 真正有效的日志来源只有两个：MySQL 的 general log（全量，性能代价大）或 MariaDB 的 audit plugin（推荐）
- phpMyAdmin 的 session 数据（如
session.save_path下的文件）只存登录态，不含 SQL 内容，且离职后很快过期清理 - 如果用的是共享主机或 cPanel 环境，大概率连 general log 都没权限开——得先确认你有
SUPER权限或能改my.cnf
MySQL general_log 是唯一开箱即用的方案，但得立刻关掉
它确实能记下每个连接执行的每条语句，包括谁、何时、用了哪个数据库，适合临时回溯。但它不是为审计设计的：写磁盘频繁、无用户映射、无法过滤、默认不区分客户端 IP 和实际操作人。
实操建议：
• 开启前确认磁盘空间充足，general_log_file 别落在系统盘根目录
• 用命令临时打开（避免重启）：SET GLOBAL general_log = ON;
• 日志格式是纯文本，需用 grep + awk 提取关键字段，例如：grep "user@host" /var/lib/mysql/general.log | grep -E "(DELETE|DROP|UPDATE)"
- 性能影响明显：高并发下 I/O 成瓶颈，线上环境严禁长期开启
- 日志里没有 phpMyAdmin 用户名，只有 MySQL 账户名（比如
root@localhost），得靠操作时间 + 已知离职人员的 MySQL 账号交叉比对 - 日志轮转需手动处理，MySQL 不自带切割逻辑，容易撑爆磁盘
MariaDB audit plugin 更靠谱，但 phpMyAdmin 用户名得靠 HTTP 头补
MariaDB 自带的 server_audit 插件能记录 user、query、timestamp、host，还支持 JSON 格式和远程 syslog 输出。但它同样不知道“张三刚用 phpMyAdmin 登录了”，因为连接过来的是 phpMyAdmin 服务端账号（比如 phpmyadmin@127.0.0.1）。
立即学习“PHP免费学习笔记（深入）”；
要关联真实操作人，得在 phpMyAdmin 和 MariaDB 之间加一层标记：
• 修改 phpMyAdmin 源码，在建立 MySQL 连接前执行 SET @pma_user = 'zhangsan';
• 在 audit log 的 query 字段里搜 @pma_user，再提取后续语句
• 或者用 Apache/Nginx 的 %{REMOTE_USER}e 变量注入到 MySQL 连接的 init_command
- 插件需手动安装：
INSTALL PLUGIN server_audit SONAME 'server_audit.so'; - audit log 默认不记录 SELECT，如需查“谁看了敏感表”，得设
server_audit_events = 'CONNECT,QUERY,TABLE' - JSON 日志解析麻烦，别直接用
tail -f，用jq '.user' audit.log | sort | uniq -c快速统计高频操作人
离职交接时最该检查的三个地方，比日志还管用
等出事再翻日志，往往已经晚了。真正有效的追踪，靠的是前置控制和元数据留存。
- 查 MySQL 的
mysql.user表：确认该用户的account_locked（8.0+）或password_expired是否已设为Y，而不是只删 phpMyAdmin 配置里的账号 - 翻 phpMyAdmin 的
$cfg['Servers'][$i]['AllowRoot']和$cfg['Servers'][$i]['AllowNoPassword']，防止离职者曾用 root 免密登录并创建了隐藏账户 - 检查数据库内是否存在异常的触发器或事件：
SELECT * FROM information_schema.TRIGGERS WHERE DEFINER LIKE '%zhangsan%';，有人会用这个绕过日志监控
日志永远有盲区，但账户状态、权限链路、对象定义这些元信息，只要当时留痕，事后就能闭环验证。别把“有没有日志”当成合规的唯一标尺。
