如何配置MySQL以记录所有GRANT和REVOKE权限变更的详细日志？

本文共计913个文字，预计阅读时间需要4分钟。

MySQL的`general_log`功能是用于记录所有执行的SQL语句，包括`GRANT`和`REVOKE`命令的原始文本。这是唯一能够捕获这些语句执行原文的日志机制。但请注意：

开启方式很简单，但有三个关键点必须同步处理：

• 确保 log_output 设为 'TABLE' 或 'FILE'（推荐 'TABLE'，方便 SQL 过滤）
• general_log 必须设为 ON，且最好在低峰期启用
• 如果用文件输出，需确认 MySQL 进程对目标路径有写权限（常被忽略导致日志静默失效）

如何只查 GRANT/REVOKE 行为（TABLE 模式下）

当 log_output = 'TABLE' 时，日志写入 mysql.general_log 表（注意：该表是 CSV 引擎，不支持索引，大数据量时 LIKE 查询会慢）。

执行以下查询即可提取权限变更记录：

SELECT event_time, user_host, argument FROM mysql.general_log WHERE command_type = 'Query' AND (argument LIKE 'GRANT %' OR argument LIKE 'REVOKE %') ORDER BY event_time DESC LIMIT 100;

注意点：

• argument 字段包含完整语句，但可能被截断（受 max_allowed_packet 影响）
• 不区分大小写？MySQL 默认不区分，但实际匹配建议用 LOWER(argument) 更稳妥
• 如果语句带换行或注释，LIKE 'GRANT %' 仍能命中——因为 % 匹配任意字符（含换行符）

FILE 模式下怎么实时监控并过滤 GRANT/REVOKE

设 log_output = 'FILE' 后，日志写入 general_log_file 指定路径（默认在数据目录下，文件名如 hostname.log）。此时无法用 SQL 查，得靠系统工具。

推荐组合命令（Linux/macOS）：

tail -f /var/lib/mysql/hostname.log | grep -i -E "^(GRANT|REVOKE) "

说明：

• tail -f 实时追加输出，避免反复打开大文件
• ^ 锚定行首，防止匹配到注释里的 GRANT（如 -- GRANT ...）
• -i 忽略大小写，-E 启用扩展正则，更可靠
• 注意空格："^(GRANT|REVOKE) " 末尾空格可排除 GRANT OPTION 被误判为 GRANT 的情况（虽然少见，但真实发生过）

为什么 audit_log 插件不推荐用于此场景

MySQL 官方 audit_log 插件（企业版或社区版通过插件安装）确实能记录权限变更，但它默认只记录操作结果（如 “Access denied” 或 “Success”），不记录原始 SQL 语句内容。即使开启 audit_log_policy = ALL，GRANT 类事件的 query 字段也为空或只有占位符。

换句话说：它告诉你“谁在什么时候改了权限”，但不告诉你“改了哪些权限、对哪个用户、用的什么语法”。而排查越权或误操作时，原始语句才是关键证据。

所以，真要审计权限变更细节，general_log 虽糙，但目前最直接；若需长期合规审计，应考虑外挂方案（如代理层拦截、binlog 解析 + 权限语句识别），而不是依赖 MySQL 内置审计。

最后提醒一句：general_log 开启后记得关——尤其上线后，别让它悄悄吃光磁盘或拖慢 QPS。