mysql 8.0+ 无权限变更专用审计日志，需启用 general_log 并过滤 grant/revoke 语句；推荐 table 模式配合 sql 查询，file 模式用 tail+grep 实时监控；audit_log 插件不记录原始语句，不满足细粒度审计需求。
MySQL 8.0+ 中没有专门记录 GRANT/REVOKE 的审计日志，得靠 general_log + 过滤
MySQL 自身不提供“权限变更专用日志”，general_log 是唯一能捕获 GRANT 和 REVOKE 语句执行原始文本的日志机制。但要注意：general_log 记录所有语句（含 SELECT、INSERT），体积大、性能损耗明显，不能长期全开，仅适合短期排查或调试。
开启方式很简单，但有三个关键点必须同步处理：
- 确保
log_output设为'TABLE'或'FILE'（推荐'TABLE'，方便 SQL 过滤） -
general_log必须设为ON，且最好在低峰期启用 - 如果用文件输出，需确认 MySQL 进程对目标路径有写权限（常被忽略导致日志静默失效）
如何只查 GRANT/REVOKE 行为（TABLE 模式下）
当 log_output = 'TABLE' 时，日志写入 mysql.general_log 表（注意：该表是 CSV 引擎，不支持索引，大数据量时 LIKE 查询会慢）。
执行以下查询即可提取权限变更记录：
SELECT event_time, user_host, argument FROM mysql.general_log WHERE command_type = 'Query' AND (argument LIKE 'GRANT %' OR argument LIKE 'REVOKE %') ORDER BY event_time DESC LIMIT 100;
注意点：
-
argument字段包含完整语句，但可能被截断（受max_allowed_packet影响） - 不区分大小写？MySQL 默认不区分，但实际匹配建议用
LOWER(argument)更稳妥 - 如果语句带换行或注释，
LIKE 'GRANT %'仍能命中——因为%匹配任意字符（含换行符）
FILE 模式下怎么实时监控并过滤 GRANT/REVOKE
设 log_output = 'FILE' 后，日志写入 general_log_file 指定路径（默认在数据目录下，文件名如 hostname.log）。此时无法用 SQL 查，得靠系统工具。
推荐组合命令（Linux/macOS）：
tail -f /var/lib/mysql/hostname.log | grep -i -E "^(GRANT|REVOKE) "
说明：
-
tail -f实时追加输出，避免反复打开大文件 -
^锚定行首，防止匹配到注释里的GRANT（如-- GRANT ...） -
-i忽略大小写，-E启用扩展正则，更可靠 - 注意空格：
"^(GRANT|REVOKE) "末尾空格可排除GRANT OPTION被误判为GRANT的情况（虽然少见，但真实发生过）
为什么 audit_log 插件不推荐用于此场景
MySQL 官方 audit_log 插件（企业版或社区版通过插件安装）确实能记录权限变更，但它默认只记录操作结果（如 “Access denied” 或 “Success”），不记录原始 SQL 语句内容。即使开启 audit_log_policy = ALL，GRANT 类事件的 query 字段也为空或只有占位符。
换句话说：它告诉你“谁在什么时候改了权限”，但不告诉你“改了哪些权限、对哪个用户、用的什么语法”。而排查越权或误操作时，原始语句才是关键证据。
所以，真要审计权限变更细节，general_log 虽糙，但目前最直接；若需长期合规审计，应考虑外挂方案（如代理层拦截、binlog 解析 + 权限语句识别），而不是依赖 MySQL 内置审计。
最后提醒一句：general_log 开启后记得关——尤其上线后，别让它悄悄吃光磁盘或拖慢 QPS。
