在MySQL数据库的日常管理中，用户权限的变更操作需要被完整记录，以便后续审计和问题排查。MySQL本身提供了多种机制可以实现用户权限变更历史的追踪，结合审计表和日志监控能够覆盖大部分场景需求。
一、利用MySQL通用日志追踪权限变更
MySQL的通用日志（general_log）会记录所有到达MySQL服务器的SQL语句，包括权限变更相关的GRANT、REVOKE、CREATE USER等语句，开启通用日志后可以快速获取权限变更的原始记录。
1. 开启通用日志
可以通过以下SQL语句动态开启通用日志，无需重启MySQL服务：
-- 查看通用日志当前状态 SHOW VARIABLES LIKE 'general_log'; -- 开启通用日志 SET GLOBAL general_log = 'ON'; -- 设置通用日志文件路径，默认路径为数据目录下的hostname.log SET GLOBAL general_log_file = '/var/log/mysql/general.log';
2. 过滤权限变更记录
通用日志会记录所有SQL，我们需要筛选出权限相关的操作，可以通过grep命令过滤日志文件：
# 过滤所有权限变更相关的SQL语句 grep -E "GRANT|REVOKE|CREATE USER|DROP USER|ALTER USER" /var/log/mysql/general.log
这种方式实现简单，但是通用日志会记录所有SQL，日志量非常大，长期开启会影响MySQL性能，适合临时排查问题使用。
二、创建自定义审计表记录权限变更
如果需要在业务层面长期留存权限变更记录，可以创建自定义审计表，通过触发器或者应用层主动写入的方式记录权限变更操作。
1. 创建审计表结构
审计表需要包含操作用户、操作时间、操作类型、操作对象、具体SQL等核心字段：
CREATE TABLE `mysql_priv_audit` ( `id` int(11) NOT NULL AUTO_INCREMENT, `operate_user` varchar(64) NOT NULL COMMENT '执行权限操作的管理员用户', `operate_time` datetime NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT '操作时间', `operate_type` varchar(32) NOT NULL COMMENT '操作类型：GRANT/REVOKE/CREATE_USER/DROP_USER等', `target_user` varchar(64) NOT NULL COMMENT '被操作的目标用户', `operate_sql` text NOT NULL COMMENT '执行的具体SQL语句', `client_ip` varchar(64) DEFAULT NULL COMMENT '操作客户端的IP地址', PRIMARY KEY (`id`), KEY `idx_operate_time` (`operate_time`), KEY `idx_target_user` (`target_user`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='MySQL用户权限变更审计表';
2. 写入审计记录
如果是通过应用层执行权限变更操作，可以在执行SQL后主动插入审计记录：
-- 执行权限变更SQL GRANT SELECT ON test_db.* TO 'test_user'@'localhost'; -- 插入审计记录 INSERT INTO mysql_priv_audit (operate_user, operate_type, target_user, operate_sql, client_ip) VALUES (USER(), 'GRANT', 'test_user@localhost', 'GRANT SELECT ON test_db.* TO ''test_user''@''localhost''', CONNECTION_ID());
这种方式记录的字段自定义程度高，查询方便，但是需要应用层配合，无法记录所有途径的权限变更操作。
三、结合MySQL系统表查询权限历史
MySQL的mysql系统库中的用户相关表会记录当前最新的权限信息，虽然无法直接记录历史变更，但是可以配合定期快照的方式对比权限变化。
1. 定期备份权限快照
可以通过导出用户权限信息的方式定期生成快照，存储到备份表中：
-- 创建权限快照表
CREATE TABLE `mysql_user_snapshot` (
`id` int(11) NOT NULL AUTO_INCREMENT,
`snapshot_time` datetime NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT '快照时间',
`user_info` text NOT NULL COMMENT '用户权限信息，可存储SHOW CREATE USER的输出结果',
PRIMARY KEY (`id`),
KEY `idx_snapshot_time` (`snapshot_time`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='MySQL用户权限快照表';
-- 定期执行插入快照，比如每天凌晨执行
INSERT INTO mysql_user_snapshot (user_info)
SELECT GROUP_CONCAT(CONCAT('CREATE USER ''', user, '''@''', host, ''' IDENTIFIED BY PASSWORD ''', authentication_string, '''') SEPARATOR ';')
FROM mysql.user;
2. 对比快照差异
通过对比不同时间的快照记录，可以找出权限发生变更的用户和操作，这种方式适合低频权限变更的场景，不需要额外开启日志。
四、不同方案对比
以下是三种权限变更追踪方案的对比，可以根据实际需求选择：
| 方案 | 实现难度 | 性能影响 | 记录完整性 | 适用场景 |
|---|---|---|---|---|
| 通用日志监控 | 低 | 高 | 高 | 临时问题排查 |
| 自定义审计表 | 中 | 低 | 中，依赖应用层配合 | 长期审计，应用层可控场景 |
| 权限快照对比 | 低 | 无 | 低，仅能发现差异 | 低频权限变更，轻量审计场景 |
五、注意事项
- 通用日志不要长期开启，生产环境建议仅在需要排查问题时临时开启，避免日志占满磁盘和影响性能。
- 审计表需要注意权限控制，仅允许管理员用户读写，避免审计记录被篡改。
- 如果使用的是MySQL企业版，还可以使用自带的审计插件，功能更完善，但是需要付费授权。
- 定期清理过期的审计记录和快照数据，避免占用过多存储空间。
MySQL权限变更追踪审计表日志监控general_log修改时间：2026-06-12 01:06:23