MySQL默认不记录GRANT/REVOKE操作，需启用server_audit插件并配置server_audit_events=’CONNECT,QUERY_DDL’才能实现合规审计；general_log和binlog均无法满足结构化、可追溯、带身份与结果的审计要求。
MySQL 默认不记录 GRANT/REVOKE，靠 general_log 或 binlog 都不行
这是最常被误踩的坑：很多人以为开了 general_log 就能审计权限变更，或者指望 binlog 里翻出 GRANT 语句——但事实是：binlog 默认跳过权限语句（除非显式设置 binlog_format=ROW 且启用 log_bin_trust_function_creators，仍不保证记录），而 general_log 虽然会记下所有语句，却无结构、无操作类型标记、无法过滤“谁在什么时候执行了哪条权限语句”，日志体积爆炸且难回溯。
-
GRANT SELECT ON mydb.* TO 'auditor'@'%'这类语句，在general_log里只是一行纯文本，没有 user/host/query 字段分离，也没成功/失败状态 -
binlog主要服务数据恢复，不是审计工具；MySQL 社区版甚至默认不写 DDL 到 binlog（binlog_format=STATEMENT下部分 DDL 不记） - 合规审计（如等保2.0、金融行业要求）明确需要可追溯、带身份、带时间、带结果的操作事件流——这两者都不满足
社区版 MySQL 必须用 server_audit 插件，且必须开 QUERY_DDL
MySQL 社区版没内置审计模块，server_audit（来自 MariaDB，兼容主流 MySQL 5.7/8.0）是目前最轻量、最可靠的选择。它原生识别权限语句，并打上 QUERY 类型 + QUERY_DDL 子类标签，每条日志含 user、host、query、status（0=成功，非0=失败）等结构化字段。
- 安装命令：
INSTALL PLUGIN server_audit SONAME 'server_audit.so';（插件路径用SHOW VARIABLES LIKE 'plugin_dir';查） - 关键配置必须包含：
server_audit_events = 'CONNECT,QUERY_DDL'——漏掉QUERY_DDL就等于没开权限审计 - 建议排除高危账号（如 root）避免日志刷屏：
server_audit_excl_users = 'root'，但别 exclude 运维账号本身 - 日志路径设为独立目录并限制权限：
server_audit_file_path = '/var/log/mysql/audit.log'，然后chown mysql:mysql /var/log/mysql防篡改
别混用 general_log，它和 server_audit 冲突且拖慢性能
很多运维图省事，一边开 server_audit，一边还留着 general_log = ON，结果发现查询变慢、磁盘 IO 暴涨、日志文件互相干扰。这不是叠加增强，而是冗余+冲突。
