开启通用查询日志和二进制日志，通过日志分析高权限用户操作。1. 启用general_log记录所有SQL操作；2. 使用binlog追溯数据变更；3. 查询mysql.user识别具SUPER或GRANT权限的账户；4. 定期审查日志中这些用户的操作行为；5. 结合低权限账户使用、日志轮转及第三方审计工具强化监控。核心是日志开启与持续审查。
在MySQL中审查高权限用户操作，核心是开启并分析日志，尤其是通用查询日志和二进制日志。通过这些日志可以追踪谁在什么时候执行了哪些命令，特别是具有高权限（如SUPER、GRANT OPTION、CREATE USER等）的账户行为。
启用通用查询日志（General Query Log）
通用查询日志记录所有客户端连接和执行的SQL语句，适合用于审计用户操作。
操作方法：- 编辑MySQL配置文件（通常是my.cnf或my.ini）：
[mysqld]
general_log = ON
general_log_file = /var/log/mysql/general.log
- 重启MySQL服务或动态启用（无需重启）：
SET GLOBAL general_log = 'ON';
SET GLOBAL general_log_file = '/var/log/mysql/general.log';
之后所有用户操作都会被记录，包括登录、SELECT、UPDATE、DROP等。可通过查看日志文件来识别高权限用户的异常行为。
使用二进制日志进行操作回溯
二进制日志（Binary Log）记录所有更改数据的语句（如INSERT、UPDATE、DELETE、DDL），可用于恢复和审计。
确认binlog已启用：SHOW VARIABLES LIKE 'log_bin';
若值为ON，则已开启。查看日志内容使用mysqlbinlog工具：
mysqlbinlog /var/log/mysql/binlog.000001 | grep -i 'user'
结合时间戳和用户名过滤，可定位特定高权限账户的操作记录。
监控高权限账户的活动
先识别哪些用户拥有高权限：
SELECT user, host, super_priv, grant_priv FROM mysql.user WHERE super_priv = 'Y' OR grant_priv = 'Y';
对这些用户重点监控。可在应用层或数据库代理层添加标签，或在日志中通过用户名过滤其操作。
建议做法：- 限制高权限账户仅在必要时使用
- 为日常操作创建低权限账户
- 定期审查general log中这些用户的操作频率与语句类型
- 设置日志轮转，防止日志过大
结合操作系统审计与第三方工具
对于更严格的审计需求，可结合操作系统层面的日志（如auditd）监控mysqld进程行为，或使用MySQL企业版的审计插件（MySQL Enterprise Audit），该插件支持按用户、操作类型生成结构化审计日志。
开源方案可考虑Percona Server附带的审计功能，或使用MariaDB的审计插件。
基本上就这些。关键是打开日志、明确谁有权限、定期检查记录。不复杂但容易忽略。
