Percona Server的audit_log插件是MySQL社区版最稳定的审计方案，需严格匹配版本、架构及glibc，从官方包提取后配置my.cnf启用异步策略并验证日志捕获效果。
Percona Server 的 audit_log 插件是目前在 MySQL 社区版上最稳定、可直接复用的审计增强方案，但必须从对应版本的 Percona Server 官方包中提取插件文件，硬拷贝 MariaDB 或旧版插件会因 ABI 不兼容直接报错。
确认当前 MySQL 版本与插件兼容性
MySQL 社区版（Oracle 官方包）不自带 audit_log.so，哪怕 8.0.37 也一样。RHEL/CentOS/AlmaLinux 等发行版通过系统包管理器安装的 mysql-community-server 默认不含该文件。
- 执行
SELECT @@plugin_dir;查出插件目录（如/usr/lib64/mysql/plugin/） - 运行
ls -l /usr/lib64/mysql/plugin/audit_log.so—— 若提示No such file or directory，说明插件缺失 - 执行
SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME = 'audit_log';，无返回 ≠ 可安装，而是根本未注册
从 Percona Server 提取并部署 audit_log.so
必须严格匹配 MySQL 主版本号、glibc 版本和 CPU 架构。例如你用的是 MySQL 8.0.37，就得下载 Percona-Server-8.0.37-29-Linux.x86_64.glibc2.17.tar.gz 这类官方构建包。
解析 MySQL 8.0 的 DDL 脚本，并将表结构导出为 Excel 格式。适用于用户需将 MySQL 的 `CREATE TABLE` 语句转换为结构化的 Excel 文件场景，导出内容包含字段名、数据类型、长度及精度等信息。支持多张表的批量处理，每张表对应 Excel 中的一个独立工作表。适用于数据库文档编写、数据字典生成及模式分析等任务。
- 解压后用
tar -xvf ... --wildcards --no-anchored '*audit_log.so*'提取插件 - 检查依赖：
ldd audit_log.so | grep -E "(libaudit|libstdc\+\+|libc)"，确保libaudit.so.1已安装（yum install audit-libs），且libstdc++.so.6支持 CXXABI_1.3.9+ - 复制到插件目录：
cp audit_log.so /usr/lib64/mysql/plugin/，并设权限：chown mysql:mysql /usr/lib64/mysql/plugin/audit_log.so，chmod 755
配置 audit_log 参数并防止阻塞
仅靠 SQL 命令启用（如 INSTALL PLUGIN audit_log SONAME 'audit_log.so'）无法持久，且默认同步写入易拖慢高并发查询。关键参数必须写入 my.cnf 并重启生效。
- 在
[mysqld]段添加：plugin-load-add = audit_log.soaudit_log_policy = STATEMENT（比ALL更轻量，跳过空语句、注释等）audit_log_include_users = 'app_user,admin'（避免记录监控账号或内部心跳）audit_log_strategy = ASYNCHRONOUS（强制异步，防阻塞）audit_log_file = /var/log/mysql/audit.log（路径需mysql用户有写权限） - 不要设
audit_log_policy = ALL：它会记录 prepare、reset 等内部指令，日志膨胀快且难分析 - 避免用
audit_log_output = TABLE：社区版不支持，且表存储性能差、无轮转机制
验证日志是否真实捕获有效操作
插件加载成功 ≠ 日志可用。很多用户卡在这一步：看到 audit_log_status=ON 就以为完事，结果日志里全是空行或只有 connect 事件。
- 手动触发明确行为：
mysql -u app_user -p -e "SELECT 1;"，然后立刻tail -n 5 /var/log/mysql/audit.log - 正常日志应含
"record":"statement"和完整 SQL 文本；若只有"record":"connect"，检查audit_log_policy是否被覆盖为CONNECT - 注意：
SELECT SLEEP(1)、空查询、USE db_name等可能被策略过滤，别拿它们当测试基准
真正容易被忽略的是 SELinux 和 systemd 的限制：RHEL 9 默认阻止 mysqld 写入 /var/log/mysql/，即使目录权限全开也会静默失败；同时 systemd 对 LimitNOFILE 和 ProtectHome 的设置可能干扰插件初始化。这些不会报错，只会让日志停更——得查 journalctl -u mysqld -n 50 才能看到底层拒绝记录。
