mysql删记录默认无痕，binlog（row格式）是唯一可靠回溯依据；需提前开启log-bin并设binlog-format=row，用mysqlbinlog -v --base64-output=decode-rows解析delete_rows_event，结合时间窗口定位操作，但binlog本身不记录用户名，须配合audit插件或general_log等额外日志才能确定操作者。
MySQL删记录没留痕？binlog是唯一靠谱的回溯依据
MySQL默认不记录谁、何时、用哪个客户端删了哪条记录。想审计删除行为，必须提前开启binlog，且格式设为ROW——STATEMENT格式下，DELETE语句只记SQL文本，看不出具体删了哪些行；MIXED可能降级为STATEMENT，同样不可靠。
怎么确认binlog已开且是ROW格式
连上MySQL后直接查两个关键配置：
SELECT @@log_bin, @@binlog_format;
结果必须同时满足：@@log_bin = 1（开启），@@binlog_format = 'ROW'（不是'STATEMENT'或'MIXED'）。如果不符合，需在my.cnf里补全：
-
log-bin = /var/lib/mysql/mysql-bin（路径可自定义，但目录必须存在且MySQL有写权限） binlog-format = ROW-
server-id = 1（主从必备，单机也建议设，避免某些工具报错）
改完重启MySQL，再执行SHOW BINARY LOGS;确认日志文件已生成。
怎么从binlog里定位某次DELETE操作
用mysqlbinlog命令解析日志，核心是过滤时间、库表名和事件类型：
- 先查出可疑时间段的binlog文件：
SHOW BINLOG EVENTS IN 'mysql-bin.000001' LIMIT 20;看End_log_pos和Event_type - 导出该时段的ROW事件：
mysqlbinlog --base64-output=DECODE-ROWS -v --start-datetime="2024-05-20 14:00:00" --stop-datetime="2024-05-20 14:05:00" /var/lib/mysql/mysql-bin.000001 - 在输出中搜索
### DELETE FROM `db_name`.`table_name`，下面紧跟着的### WHERE块就是被删的具体行内容（含主键值）
注意：--base64-output=DECODE-ROWS -v缺一不可，否则看不到真实数据；时间范围宁窄勿宽，否则输出太大难定位。
怎么知道是哪个用户删的
binlog本身不存用户名，但有两条路可查：
- 如果开启了
general_log（不推荐长期开，性能损耗大），可查general_log表或日志文件，匹配同一时间点的DELETE语句和Connect事件里的user@host - 更实用的是结合MySQL审计插件（如
audit_log）或代理层（如ProxySQL、MaxScale）的日志，它们会明确记录user、host、command、query
纯靠binlog，只能确定“什么时间删了什么数据”，无法锁定“谁删的”——这点容易被忽略，得提前规划日志组合策略。
