如何排查SQL数据库的异常数据删除并查看数据库操作审计日志

当线上业务反馈某些表的数据莫名消失，第一步应当确认数据库是否记录了操作审计信息，并从中筛选出删除类的执行记录。借助审计日志，我们能够还原是谁在什么时候通过哪条语句删除了数据。

一、常见数据库的审计能力

不同数据库产品提供的审计方案有所区别，下面列出几种主流数据库的实现方式：

• MySQL：企业版提供审计插件，社区版可临时开启 general log 或利用 binlog 反向解析
• SQL Server：通过创建服务器审计与数据库审计规范来记录 DELETE 操作
• PostgreSQL：安装 pgAudit 扩展以输出精细化会话与对象审计日志

二、以 SQL Server 为例开启删除审计

可以使用系统自带的审计对象来跟踪对业务表的删除行为，示例如下：

-- 创建服务器级审计
CREATE SERVER AUDIT DeleteAudit
TO FILE (FILEPATH = 'C:AuditLogs');
GO

-- 开启审计
ALTER SERVER AUDIT DeleteAudit WITH (STATE = ON);
GO

-- 创建数据库审计规范，只记录 DELETE 语句
CREATE DATABASE AUDIT SPECIFICATION DeleteTableSpec
FOR SERVER AUDIT DeleteAudit
ADD (DELETE ON dbo.Orders BY PUBLIC);
GO

-- 开启规范
ALTER DATABASE AUDIT SPECIFICATION DeleteTableSpec WITH (STATE = ON);
GO

三、查询与定位异常删除

开启审计后，可通过函数读取审计文件，筛选指定时间范围内的删除记录：

SELECT
    event_time,
    server_principal_name,
    client_ip,
    statement
FROM sys.fn_get_audit_file('C:AuditLogs*', DEFAULT, DEFAULT)
WHERE statement LIKE '%DELETE%'
  AND event_time > '2023-01-01 00:00:00';
GO

上述结果会展示执行删除的账号、来源 IP 与具体 SQL，据此即可确认是否为异常操作。

四、基于日志的后续处理

确认异常删除来源后，建议进行以下动作：

使用 general log 临时排查 MySQL

若 MySQL 未部署审计插件，可短期打开 general log 观察所有指令：

-- 开启全量日志
SET GLOBAL general_log = 'ON';
SET GLOBAL log_output = 'TABLE';

-- 查询删除相关的执行记录
SELECT * FROM mysql.general_log
WHERE argument LIKE 'DELETE%'
ORDER BY event_time DESC;

需注意 general log 对性能有影响，排查完应及时关闭。

审计日志是定位异常数据删除最直接证据，生产环境应常态化开启合适的审计策略，而非事后临时补救。

SQL数据库数据删除审计日志修改时间：2026-07-28 02:39:18