怎样在MySQL中审计DDL结构变更并实时报警通知-mysql教程-PHP中文网

mysql社区版唯一可行的ddl审计方案是server_audit插件，需安装后设置server_audit_events='connect,query_ddl'并启用server_audit_logging，日志结构化输出至指定路径，配合tail -f流式解析实现精准实时告警。

怎样在mysql中审计ddl结构变更并实时报警通知

用 server_audit 插件捕获 QUERY_DDL 事件（社区版唯一可行路径）

MySQL 社区版不内置 DDL 审计能力，audit_log 插件在标准社区版中根本不存在——执行 INSTALL PLUGIN audit_log SONAME 'audit_log.so' 必然报错 Plugin 'audit_log' is not loaded。真正能稳定、轻量、结构化捕获 CREATE/DROP/ALTER 等语句的，只有 server_audit 插件，且必须显式启用 QUERY_DDL 类型。

先确认插件存在：SHOW VARIABLES LIKE 'plugin_dir'，然后检查对应目录下是否有 server_audit.so（常见路径：/usr/lib/mysql/plugin/server_audit.so 或 /usr/lib64/mysql/plugin/server_audit.so）
安装不需重启：INSTALL PLUGIN server_audit SONAME 'server_audit.so'
必须设事件类型：SET GLOBAL server_audit_events = 'CONNECT,QUERY_DDL' —— QUERY_DML 无效，ALL 会混入海量连接日志，徒增解析负担
日志默认写入 /var/log/mysql/audit.log，但务必显式配置：SET GLOBAL server_audit_file_path = '/var/log/mysql/audit.log'，并确保目录存在、属主为 mysql、有写权限

从 audit.log 提取 DDL 并触发实时报警（避免 grep + cron 的低效轮询）

server_audit 日志是结构化文本，每行含 user、host、query、status（0=成功，非0=失败），可直接用流式工具解析，无需先落盘再扫描。

推荐用 tail -F /var/log/mysql/audit.log | grep --line-buffered 'QUERY_DDL' | while read line 持续监听，配合 jq 或简单 awk 提取关键字段

示例过滤逻辑（只报失败的 DDL）：

tail -F /var/log/mysql/audit.log | awk -F',' '$5 ~ /status: [1-9][0-9]*/ {print $2,$3,$4,$5}' | while read user host query status; do
echo "DDL FAILED: $user@$host executed '$query' with status $status" | curl -X POST https://your-alert-webhook/notify;
done

切忌用 grep 'CREATE|ALTER|DROP' 原始匹配：大小写、空格、换行都可能漏掉真实语句；而 QUERY_DDL 是插件打的统一标签，精准可靠
若需区分库表粒度，可在 query 字段里用正则提取（如 awk '{match($4, /CREATE TABLE ([^ ]+)/, arr); print arr[1]}'），但注意字段分隔符是逗号，部分语句含逗号需谨慎处理

为什么不能用 general_log 或 binlog 替代？

general_log 看似能抓到 DDL 文本，但它不是审计日志：

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

不记录执行结果（ALTER TABLE nonexistent_db.t ADD COLUMN x INT 失败了也照记，无 status 字段）
所有语句混在一起，SELECT 和 CREATE DATABASE 同一行，无法自动归类或告警
开启后 QPS 下降 15–30%，日志体积小时几百 MB，磁盘 I/O 成瓶颈

binlog 记录的是已生效的变更，但：

不含原始 SQL（ROW 格式下完全不可读，STATEMENT 格式才可见，但需用 mysqlbinlog --base64-output=DECODE-ROWS -v 解析）
不记录失败的 DDL（比如权限不足被拒绝的 CREATE USER）
时间戳是事务提交时间，不是客户端发起时间，与操作人溯源脱节