mysql 8.0.19+社区版原生支持audit_log插件但默认不启用，可记录连接、查询、ddl/dml等事件元数据（用户、ip、时间、状态码），但不记录sql语句完整文本；需用system_variables_admin和system_user权限执行install plugin加载，并set global audit_log_policy='all'开启全量审计，日志格式推荐json以便结构化解析。
audit_log 插件在 MySQL 8.0.19+ 社区版中原生存在但默认不启用，它能记录连接、查询开始/结束、DDL/DML 等事件，但不记录 SQL 语句的完整文本内容（如 DELETE FROM users WHERE id=1）——只记录事件类型、用户、主机、时间戳、状态码等元数据。想“记录所有 SQL 操作记录”，必须明确：这是指“操作行为”（谁、何时、做了什么类型动作），不是“SQL 文本快照”。
确认 MySQL 版本与插件可用性
低于 8.0.19 的社区版没有内置 audit_log.so，硬装会报 ERROR 1126 (HY000): Can't open shared library 'audit_log.so'。
执行以下命令验证：
SELECT VERSION();<br>SHOW VARIABLES LIKE 'have_audit_log'; -- 返回 YES 才表示编译时启用了该插件<br>SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME = 'audit_log';
若无结果或状态为 DISABLED，别继续；升级或换方案。
加载插件并设置 audit_log_policy = ALL
audit_log_policy 是开关，不是配置文件开关——它必须运行时设，且仅 SET GLOBAL 临时生效，要持久化得写进配置文件并重启。
- 用有
SYSTEM_VARIABLES_ADMIN和SYSTEM_USER权限的账户执行：INSTALL PLUGIN audit_log SONAME 'audit_log.so'; - 立即启用全量审计：
SET GLOBAL audit_log_policy = 'ALL';（可选值只有ALL、LOGINS、QUERIES；VALIDATE会直接报错） - 注意：
ALL仍不记录mysqldump、存储过程内动态 SQL、复制线程操作——这些走的是内部协议，不触发 QUERY 事件
指定 audit_log_file 路径并解决写入失败
日志路径必须在 MySQL 启动前通过配置文件指定，SET GLOBAL audit_log_file = '/path' 无效。常见失败原因不是配置错，而是上下文权限断层：
- 路径必须是绝对路径，例如
/var/log/mysql/audit.log；不能含变量、软链接循环、中文或空格 - MySQL 进程用户（通常是
mysql）必须对父目录有w权限：sudo chown mysql:mysql /var/log/mysql，再sudo chmod 755 /var/log/mysql - SELinux 默认拦截：
sudo setsebool -P mysqld_read_default_logs on或用auditctl放行写入 - 验证是否可写：
sudo -u mysql touch /var/log/mysql/audit.log 2>/dev/null && echo "OK" || echo "Permission denied"
audit_log_format = JSON 的实际影响
设成 JSON 不是为了“好看”，而是为了结构化解析——但它每行是一个独立 JSON 对象，没有逗号、不换行、不缩进。别直接 cat audit.log | jq，会报错；得逐行处理：
while IFS= read -r line; do echo "$line" | jq '.'; done <p>关键点：</p>
-
JSON格式在8.0.22前不含客户端 IP 字段，升级后务必验证ip字段是否存在 - 长 SQL 可能被截断：调大
audit_log_read_buffer_size（默认 1M，建议设为4194304） - 体积比
NEWLINE大 30%～50%，高并发下磁盘 IO 明显，需配合外部轮转脚本（社区版无audit_log_rotate_on_size）
MySQL 审计日志最常被忽略的不是怎么开，而是没意识到它不记 SQL 文本本身，也不覆盖所有客户端行为。如果业务真需要每条 SQL 的完整字符串（比如合规强审场景），general_log + 文件权限管控 + 实时过滤是唯一可行的社区版路径，但代价是性能和磁盘压力——这得提前权衡。
