mysql 8.0+ 审计日志需用企业版 audit_log 插件或社区版替代方案；加载失败主因是版本不符、插件缺失、路径错误或 selinux 拦截；audit_log_policy 控制粒度（logins/queries/all），须 set global 生效；日志默认 json 格式缓存写入，需调 audit_log_strategy 并注意脱敏。
MySQL 8.0+ 开启 audit_log 插件失败：检查插件路径和权限
MySQL 审计日志依赖 audit_log 插件（官方企业版插件），社区版默认不带；如果执行 INSTALL PLUGIN audit_log SONAME 'audit_log.so' 报错 ERROR 1126 (HY000): Can't open shared library 'audit_log.so'，大概率是没装插件文件，或路径不对。
实操建议：
- 确认 MySQL 版本是否为官方企业版（
SELECT VERSION()返回含commercial字样）；社区版需换用mysql-audit（McAfee 开源插件）或基于general_log+ 过滤方案 - 企业版下，检查插件目录：
SHOW VARIABLES LIKE 'plugin_dir'，然后进该路径看是否存在audit_log.so（Linux）或audit_log.dll（Windows） - 若存在但加载失败，常见原因是 SELinux 或 AppArmor 拦截，临时关闭验证：
setenforce 0（仅测试） - 插件加载后，必须设置
audit_log_policy才会真正记录，否则静默无输出
audit_log_policy 的三个取值怎么选：ALL、LOGINS、QUERIES
这个变量控制审计粒度，不是“开/关”开关，而是决定记录哪些事件。设错会导致日志爆炸或漏关键操作。
实操建议：
-
LOGINS：只记连接/断连，适合排查账号异常登录，日志量最小；但完全看不到 SQL 内容 -
QUERIES：记所有非空查询（含SELECT），不含连接事件；适合追踪数据访问行为，但可能被大结果集 SELECT 淹没 -
ALL：最全，含连接、断连、所有语句；生产环境慎用，尤其高并发写入场景下 I/O 压力明显上升，且日志体积增长极快 - 修改后必须执行
SET GLOBAL audit_log_policy = 'QUERIES'，仅改配置文件不生效
审计日志写到哪？audit_log_file 和 audit_log_strategy 配合问题
日志默认写入 audit.log（在 datadir 下），但直接 tail -f 看不到实时内容——因为 MySQL 默认用缓存写入策略，且文件权限常属 mysql 用户。
实操建议：
- 先确认路径：
SELECT @@audit_log_file；别硬写绝对路径，MySQL 会自动补前缀 -
audit_log_strategy控制刷盘方式：ASYNCHRONOUS（默认，快但可能丢最后几条）、SEMISYNCHRONOUS（平衡）、Synchronous（同步刷盘，安全但性能跌 15%+） - 想实时观察，设为
SEMISYNCHRONOUS+ 用tail -F /var/lib/mysql/audit.log（注意路径权限，必要时chown mysql:adm /var/lib/mysql/audit.log并加组读） - 日志是 JSON 格式，每行一条事件，
status为 0 表示成功，非 0 是错误码（如 1045 是权限拒绝）
社区版替代方案：用 general_log + log_output='TABLE' 临时抓可疑 SQL
如果只有社区版又急需查某用户最近干了什么，general_log 是唯一开箱即用的选项，但默认写文件不可检索，且开启后性能损耗显著。
实操建议：
- 启用表存储：
SET GLOBAL log_output = 'TABLE'; SET GLOBAL general_log = ON;，日志写入mysql.general_log表 - 查指定用户：
SELECT * FROM mysql.general_log WHERE argument LIKE '%username%' ORDER BY event_time DESC LIMIT 20;（注意argument字段含完整 SQL，但会被截断） - 风险点：该表无索引，大数据量时
SELECT极慢；务必限制LIMIT，且用完立刻关：SET GLOBAL general_log = OFF; - 不能替代审计——它不记录失败语句、不区分连接来源 IP、不支持按用户过滤，纯属应急手段
审计日志的真实难点不在开启，而在日志体积控制和敏感字段脱敏；比如 INSERT INTO users VALUES ('admin', 'pwd123') 这种语句明文进日志，等于把密码二次暴露。上线前必须确认 audit_log_exclude_accounts 或应用层过滤逻辑已就位。
