堡垒机通过代理数据库访问链路实现审计与脱敏，即“人—堡垒机—数据库”全程拦截解析重写；强制所有会话经代理接入，集中管控凭据与权限；完整记录sql元信息并支持多维检索与敏感操作告警；基于动态sql重写引擎对返回结果字段级脱敏，规则按角色差异化配置，原始数据不修改，全程留痕可追溯，满足等保2.0安全审计与数据保护要求。
堡垒机实现数据库审计与脱敏，核心是把数据库访问行为纳入统一代理通道，并在数据流转关键节点施加策略控制。它不是在数据库里改数据，而是在“人—堡垒机—数据库”这条链路上做拦截、解析和重写。
数据库会话必须走堡垒机代理
所有运维人员访问MySQL、Oracle、PostgreSQL等数据库，不能直连，必须通过堡垒机的数据库协议代理功能接入。堡垒机此时扮演“中间网关”角色，真实数据库地址对用户不可见，连接凭据由堡垒机集中托管。
- 用户使用Web终端或标准客户端（如DBeaver、Navicat）连接堡垒机提供的代理地址和端口
- 堡垒机验证用户身份后，根据授权策略匹配其可访问的数据库资产和账号
- 堡垒机用该资产对应的高权限账号（如db_admin）建立后端连接，再将用户会话透明转发
审计靠全程记录+结构化解析
堡垒机会完整捕获每条SQL语句、执行时间、操作者、返回行数、影响行数等元信息，并生成可检索的会话记录。
- 会话记录页面支持按用户、数据库、时间范围、关键词（如“DELETE”“DROP”）筛选
- 点击单条会话可查看完整交互过程：登录→执行命令→结果集摘要→退出
- 敏感操作（如含WHERE条件的UPDATE、无LIMIT的DELETE）可配置告警规则，触发实时通知
脱敏基于动态SQL重写引擎
从v4.10.10 LTS起，JumpServer等主流堡垒机支持字段级动态脱敏——不修改原始数据，只在返回给用户的查询结果中实时掩码。
- 管理员为手机号、身份证号、银行卡号等字段预设脱敏规则，例如“138****1234”或“***@***.com”
- 规则可按用户或角色差异化配置：DBA看到明文，开发看到脱敏值，审计员看到部分脱敏
- 系统自动解析SELECT语句，识别目标字段，重写SQL并注入脱敏函数（如CONCAT + REPEAT），在内存中完成处理
- 原始数据始终留在数据库，所有脱敏动作记入审计日志，确保“可追溯、不可抵赖”
满足等保与合规刚性要求
等保2.0明确要求“对数据库的访问和操作进行安全审计”，同时强调“最小权限”和“敏感信息保护”。堡垒机的审计+脱敏组合，直接覆盖多项条款：
- 8.1.4.3（安全审计）：记录用户、时间、事件类型、结果，留存≥6个月
- 8.1.4.4（数据安全）：对数据库访问行为实施审计与控制
- 最小化暴露原则：开发查日志时看不到真实手机号，测试环境不泄露生产敏感字段
