怎样通过Percona Server工具加强MySQL开源版审计功能？-mysql教程-PHP中文网

Percona Server的audit_log插件是MySQL社区版最稳定的审计方案，需严格匹配版本、架构及glibc，从官方包提取后配置my.cnf启用异步策略并验证日志捕获效果。

怎样通过percona server工具加强mysql开源版审计功能？

Percona Server 的 audit_log 插件是目前在 MySQL 社区版上最稳定、可直接复用的审计增强方案，但必须从对应版本的 Percona Server 官方包中提取插件文件，硬拷贝 MariaDB 或旧版插件会因 ABI 不兼容直接报错。

确认当前 MySQL 版本与插件兼容性

MySQL 社区版（Oracle 官方包）不自带 audit_log.so，哪怕 8.0.37 也一样。RHEL/CentOS/AlmaLinux 等发行版通过系统包管理器安装的 mysql-community-server 默认不含该文件。

执行 SELECT @@plugin_dir; 查出插件目录（如 /usr/lib64/mysql/plugin/）
运行 ls -l /usr/lib64/mysql/plugin/audit_log.so —— 若提示 No such file or directory，说明插件缺失
执行 SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME = 'audit_log';，无返回 ≠ 可安装，而是根本未注册

从 Percona Server 提取并部署 audit_log.so

必须严格匹配 MySQL 主版本号、glibc 版本和 CPU 架构。例如你用的是 MySQL 8.0.37，就得下载 Percona-Server-8.0.37-29-Linux.x86_64.glibc2.17.tar.gz 这类官方构建包。

解压后用 tar -xvf ... --wildcards --no-anchored '*audit_log.so*' 提取插件
检查依赖：ldd audit_log.so | grep -E "(libaudit|libstdc\+\+|libc)"，确保 libaudit.so.1 已安装（yum install audit-libs），且 libstdc++.so.6 支持 CXXABI_1.3.9+
复制到插件目录：cp audit_log.so /usr/lib64/mysql/plugin/，并设权限：chown mysql:mysql /usr/lib64/mysql/plugin/audit_log.so，chmod 755

配置 audit_log 参数并防止阻塞

仅靠 SQL 命令启用（如 INSTALL PLUGIN audit_log SONAME 'audit_log.so'）无法持久，且默认同步写入易拖慢高并发查询。关键参数必须写入 my.cnf 并重启生效。

kashen-mysql DDLtoExcel

解析 MySQL 8.0 的 DDL 脚本，并将表结构导出为 Excel 格式。适用于用户需将 MySQL 的 `CREATE TABLE` 语句转换为结构化的 Excel 文件场景，导出内容包含字段名、数据类型、长度及精度等信息。支持多张表的批量处理，每张表对应 Excel 中的一个独立工作表。适用于数据库文档编写、数据字典生成及模式分析等任务。

下载

在 [mysqld] 段添加：
plugin-load-add = audit_log.so
audit_log_policy = STATEMENT（比 ALL 更轻量，跳过空语句、注释等）
audit_log_include_users = 'app_user,admin'（避免记录监控账号或内部心跳）
audit_log_strategy = ASYNCHRONOUS（强制异步，防阻塞）
audit_log_file = /var/log/mysql/audit.log（路径需 mysql 用户有写权限）
不要设 audit_log_policy = ALL：它会记录 prepare、reset 等内部指令，日志膨胀快且难分析
避免用 audit_log_output = TABLE：社区版不支持，且表存储性能差、无轮转机制

验证日志是否真实捕获有效操作

插件加载成功 ≠ 日志可用。很多用户卡在这一步：看到 audit_log_status=ON 就以为完事，结果日志里全是空行或只有 connect 事件。

手动触发明确行为：mysql -u app_user -p -e "SELECT 1;"，然后立刻 tail -n 5 /var/log/mysql/audit.log
正常日志应含 "record":"statement" 和完整 SQL 文本；若只有 "record":"connect"，检查 audit_log_policy 是否被覆盖为 CONNECT
注意：SELECT SLEEP(1)、空查询、USE db_name 等可能被策略过滤，别拿它们当测试基准

真正容易被忽略的是 SELinux 和 systemd 的限制：RHEL 9 默认阻止 mysqld 写入 /var/log/mysql/，即使目录权限全开也会静默失败；同时 systemd 对 LimitNOFILE 和 ProtectHome 的设置可能干扰插件初始化。这些不会报错，只会让日志停更——得查 journalctl -u mysqld -n 50 才能看到底层拒绝记录。