mysql 8.0+ 需创建专用账号并显式授权 grant select on mysql.slow_log to 'logstash'@'%';，因系统表受严格保护，mysql.* 通配符不生效；同时须启用 log_output='table' 并持久化配置。
MySQL 8.0+ 如何创建 ELK 专用账号并授权 slow_log 表
ELK（Logstash 或 Filebeat）直连 MySQL 读取 slow_log 表时，默认账号通常没权限——因为该表位于 mysql 系统库，且默认关闭、需手动启用。直接用 root 连接既不安全也不符合最小权限原则。
-
slow_log是一个 CSV 存储引擎的只读表（MySQL 8.0.22+ 支持TABLE类型，但仍是只读），不能INSERT/UPDATE，只需SELECT - 必须先确认已启用慢查询日志并设为表输出：
SET GLOBAL log_output = 'TABLE'; SET GLOBAL slow_query_log = ON; - MySQL 8.0+ 默认禁用
mysql.slow_log的直接 SELECT 权限，即使账号有SELECTonmysql.*，也会被隐式拒绝（因系统表保护机制） - 正确做法是显式授予：
GRANT SELECT ON mysql.slow_log TO 'logstash'@'%';
为什么 GRANT SELECT ON mysql.* 不生效？
MySQL 8.0 引入了更严格的系统表访问控制：即使你执行了 GRANT SELECT ON mysql.* TO 'user'@'%';，对 slow_log、general_log 等日志表仍会报错 ERROR 1142 (42000): SELECT command denied to user ... for table 'slow_log'。
- 这是设计行为，不是 bug。MySQL 将日志表视为“敏感系统元数据”，需单独显式授权
-
mysql.*的通配符不覆盖这些特殊表；必须写全名：mysql.slow_log - 若使用 MySQL 5.7，该限制不存在，
GRANT SELECT ON mysql.*即可，但 5.7 已 EOL，不建议用于新部署
Logstash JDBC Input 配置中要注意的权限细节
Logstash 通过 jdbc 插件轮询 slow_log 时，除了基础 SELECT，还需注意三点：
- 必须在
jdbc_connection_string中指定?serverTimezone=UTC（或匹配 MySQL 时区），否则可能因时区转换导致时间字段解析失败，漏读新记录 - 查询语句建议加
WHERE start_time > :sql_last_value实现增量拉取，但slow_log.start_time是DATETIME类型，:sql_last_value必须传字符串格式（如'2024-05-01 00:00:00'），不能传 Unix 时间戳 - 账号不能只有
SELECT—— Logstash 初始化时会尝试SHOW VARIABLES和SELECT VERSION()，需额外授权：GRANT SELECT ON *.* TO 'logstash'@'%';（仅限非敏感库）或至少GRANT USAGE ON *.* TO 'logstash'@'%';+ 显式SELECTonmysql.slow_log
验证权限是否真正生效的最快方式
别等 Logstash 启动失败再排查——用相同账号直连 MySQL 手动测试最可靠：
mysql -u logstash -p -e "SELECT COUNT(*) FROM mysql.slow_log LIMIT 1;"
- 如果返回数字（哪怕 0），说明权限和表可见性都 OK
- 如果报错
Table 'mysql.slow_log' doesn't exist：检查log_output是否为'TABLE'，且 MySQL 已重启或执行过SET GLOBAL - 如果报错
Access denied for SELECT：确认执行的是GRANT SELECT ON mysql.slow_log而非mysql.*，且执行了FLUSH PRIVILEGES; - 注意：MySQL 8.0.12+ 默认关闭
log_output=TABLE，且slow_log表首次访问前不会自动创建，需先触发一次慢查询或手动CREATE TABLE（不推荐）
实际部署中，最容易被忽略的是 log_output 的持久化配置——它只在运行时生效，MySQL 重启后丢失。务必把 log_output=TABLE 写进 my.cnf 的 [mysqld] 段，并确保 slow_query_log_file 未与 log_output=FILE 冲突。
