社区版MySQL无audit_log插件，需改用MariaDB server_audit插件；必须匹配MySQL版本下载插件，配置server_audit_logging=ON、server_audit_events='QUERY_DML,QUERY_DDL'、server_audit_output_type='FILE'，并确保日志路径权限及SELinux上下文正确，否则日志为空。
社区版 MySQL 无法使用 audit_log 插件，删库后查不到操作人——不是配置错了，是压根没这个文件。
先确认你用的是不是企业版
执行 SELECT VERSION();，看返回值是否含 -commercial 或 enterprise。比如 8.0.35-commercial 才可能有 audit_log.so；如果返回 8.0.35 或 5.7.44 这类纯数字版本，就是社区版，INSTALL PLUGIN audit_log SONAME 'audit_log.so' 必然报错。
再查插件路径：SHOW VARIABLES LIKE 'plugin_dir';，进该目录执行 ls -l | grep audit，社区版服务器大概率空目录。
别跳过这步直接抄企业版文档——90% 的“插件加载失败”都卡在这里。
社区版必须换 MariaDB server_audit 插件
它开源、适配 MySQL 5.7/8.0、字段完整（含 user@host、原始 SQL、时间戳），但装错版本或漏设参数，日志照样为空。
- 下载必须严格匹配：MySQL 8.0.35 就得下 tag 标注
mysql80的 release，不能用mysql57的包 - 安装后三件事必须手动设：
SET GLOBAL server_audit_logging = ON;（开关）、SET GLOBAL server_audit_events = 'QUERY_DML,QUERY_DDL';（否则不记DELETE/DROP）、SET GLOBAL server_audit_output_type = 'FILE';（默认SYSLOG容易丢日志） -
server_audit_file_path指向的目录，必须由mysqld进程用户（通常是mysql）可写；SELinux 启用时，还得加semanage fcontext -a -t mysqld_log_t "/path/to/audit(/.*)?"
验证日志真在记录 DELETE，不是只记 CONNECT
SHOW PLUGINS 显示 ACTIVE 不等于日志有效。很多配完就收工的用户，误删后翻日志发现全是连接记录，没一条 DML。
手动触发测试：DELETE FROM users WHERE id = 9999;（确保该行存在，避免被优化器跳过）
立刻查日志：tail -n 20 /var/log/mysql/server_audit.log，找含 "QUERY" 和 "DELETE" 的行，关键字段应包括："user":"app_user@10.0.2.3"、"query":"DELETE FROM users WHERE id = 9999"
如果只有 "CONNECT" 没 "QUERY"，八成是 server_audit_events 漏了 QUERY_DML，或者 server_audit_logging 没真正生效。
最常被忽略的点：日志路径权限和 SELinux 上下文。配对了参数、下了对的插件，却因 mysqld 写不了文件，导致审计形同虚设。
