MySQL社区版8.0不内置audit_log插件，需用Percona Server或自行编译；插件文件权限、SELinux/AppArmor策略、audit_log_file路径及权限、audit_log_policy策略（推荐LOGINS或TABLES）均须严格配置，日志文件权限应为640且属主mysql:adm。
确认MySQL版本与审计能力匹配
社区版8.0默认不带企业级审计功能，audit_log插件不是原生内置的。直接执行 INSTALL PLUGIN audit_log SONAME 'audit_log.so' 很可能报错 ERROR 1126 (HY000): Can't open shared library 'audit_log.so' —— 因为插件文件根本不存在。
必须先验证：运行 SELECT VERSION() 确认是 8.0.x，再查是否已预装插件：SHOW PLUGINS LIKE 'audit_log'。如果返回空，说明你用的是纯社区版，不能指望官方包自带该插件。
可行路径只有两条：
- 换用 Percona Server for MySQL（推荐），它把
audit_log.so编译进二进制包，且兼容社区版配置 - 或自行编译插件（极不推荐），需匹配 MySQL 源码版本、CMake 工具链、链接符号等，生产环境几乎不可控
audit_log.so 文件路径与权限必须严格校验
即使你拿到了 audit_log.so，把它丢进 /usr/lib/mysql/plugin/ 就完事？不行。MySQL 启动时会检查该文件的属主、权限和 SELinux 上下文。
典型错误现象：MySQL 启动成功，但 SHOW PLUGINS 里看不到 audit_log，日志里只有一行模糊提示 Plugin 'audit_log' is disabled。
真正要检查的有三处：
-
ls -l /usr/lib/mysql/plugin/audit_log.so—— 必须是mysql:mysql所有者，权限为644或755（不能是600或root） -
sudo -u mysql /usr/bin/mysql --plugin-dir=/usr/lib/mysql/plugin -e "SELECT 1"—— 验证 mysql 用户能否读取该目录下所有文件 - Ubuntu/Debian 上 AppArmor 默认阻止访问非标准路径；CentOS/RHEL 上 SELinux 可能标记为
unconfined_u:object_r:mysqld_etc_t:s0，需用sudo semanage fcontext -a -t mysqld_plugin_t '/usr/lib/mysql/plugin/audit_log\.so'并restorecon
audit_log_file 路径必须由 mysql 用户完全控制
配置项 audit_log_file = /var/log/mysql/audit.log 看似简单，但 MySQL 不会在启动时自动创建父目录，也不会帮你 chown。如果目录不存在或权限不对，插件加载会静默失败——没有报错，日志也不写，连 SELECT @@audit_log_file 都返回空值。
正确做法分步执行：
sudo mkdir -p /var/log/mysqlsudo chown mysql:mysql /var/log/mysql-
sudo chmod 750 /var/log/mysql（不能是 777） - 手动测试写入：
sudo -u mysql touch /var/log/mysql/audit.log && sudo -u mysql rm /var/log/mysql/audit.log
注意：不要用 /tmp 或 /var/tmp 存审计日志——这些目录常被定时清理，且可能被其他进程干扰；也不要放在 /var/lib/mysql 下——审计日志不属于数据文件，混放违反最小权限原则。
audit_log_policy 配置不当会导致日志爆炸或漏审
audit_log_policy = ALL 是最危险的默认选项。它记录连接、查询、表访问、权限变更等全部事件，日志体积增长极快，尤其在有健康检查 SELECT 1 的服务中，单日可生成数 GB 日志，迅速耗尽磁盘。
合规审计真正需要的是“关键操作”而非“全部操作”。应按场景选策略：
-
LOGINS：只记录用户连接/断开，适合登录行为审计（如等保要求） -
QUERIES：记录所有 SQL，但不含连接事件；性能压力大，仅限短期排查 -
TABLES：只记录对表的 DML/DCL 操作（INSERT/UPDATE/DELETE/GRANT/REVOKE），兼顾安全与容量
更精细控制要用 audit_log_include_accounts 和 audit_log_exclude_accounts，例如只审计 'dba'@'%' 和 'app_rw'@'10.0.0.%'，排除监控账号和备份账号，避免噪音。
最后提醒：审计日志本身也是敏感数据，/var/log/mysql/audit.log 文件权限必须设为 640，属主 mysql:adm（而非 mysql:mysql），确保只有 DBA 和系统审计员能读取。
