MySQL数据库Audit插件的使用技巧总结

在MySQL数据库中（5.5版本），增加了一个新的插件：Audit plugin，用于对数据库连接和数据库操作进行审计。接下来我们详细介绍Audit插件的使用。

相关代码如下：

sql/sql_audit.cc

该文件定义了audit插件的接口函数。

sql/sql_audit.h

申明函数，并定义了函数mysql_audit_general_log，在触发audit时，首先调用的就是该函数。

plugin/audit_null/audit_null.c

这是一个模板程序，给出了一个最基本的audit插件所需要定义的接口。

为了实现一个完整的audit程序，需要包括插件初始化、主要函数、卸载插件后的调用函数。这里我们以audit_null.c为例：

static int audit_null_plugin_init(void *arg __attribute__((unused)))

在安装插件时，会调用该函数，主要用于做一些初始化的工作，比如初始化全局变量等。

static void audit_null_notify(MYSQL_THD thd, unsigned int event_class, constvoid *event)

这是audit插件的主要函数，在相应的事件被触发时，将会调用到该函数，参数包括：

thd：触发该函数的线程，在结构体THD中包含了相当丰富的信息，可以借此实现很多有趣的功能

event_class/event：前者表示事件的类型，用于决定第三个参数event结构体的类型，使用宏定义，值为MYSQL_AUDIT_GENERAL_CLASS时表示由操作数据库的行为所触发，值为MYSQL_AUDIT_CONNECTION_CLASS时表示由发起数据库连接所触发，而针对不同的类型，也会调用不同的接口函数来触发audit。

staticaudit_handler_t audit_handlers[] =  
 
{  
 
general_class_handler,connection_class_handler  
 
};

对上述两种情况下，又会细分到多个事件类型，在文件plugin_audit.h中进行了定义

1．发起连接时

#defineMYSQL_AUDIT_CONNECTION_CONNECT 0

完成认证后触发

#define MYSQL_AUDIT_CONNECTION_DISCONNECT 1

连接被中断时触发

#define MYSQL_AUDIT_CONNECTION_CHANGE_USER 2

在执行COM_CHANGE_USER命令后触发。

event参数的结构为：mysql_event_connection。

2.操作数据库时

#defineMYSQL_AUDIT_GENERAL_LOG 0

在提交给general query log之前被触发

#define MYSQL_AUDIT_GENERAL_ERROR 1

在发送给用户错误之前触发

#define MYSQL_AUDIT_GENERAL_RESULT 2

当将结果集合发送给用户后触发

#defineMYSQL_AUDIT_GENERAL_STATUS 3

当发送一个结果集或发生错误时被触发。event参数的结构体为：mysql_event_general。

不管event的结构体是哪一个，都在其中记录了上述七种事件类型，我们就可以根据不同的事件类型，有针对性的进行插件代码的编写。

3. static int audit_null_plugin_deinit(void*arg __attribute__((unused)))

当卸载插件时，会调用该函数，可以用来执行一些释放资源、关闭文件等操作

4. 定义插件的描述符结构体：

struct st_mysql_audit    
 
{    
 
int interface_version;    
 
void (*release_thd)(MYSQL_THD);    
 
void (*event_notify)(MYSQL_THD, unsigned int, const void *);    
 
unsigned long class_mask[MYSQL_AUDIT_CLASS_MASK_SIZE];    
 
};

Version，值一般为MYSQL_AUDIT_INTERFACE_VERSION。

release_thd，一般设置为NULL。

event_notify，主要的处理函数，当发生某些事件时被调用(audit_null_notify)。

class_mask，掩码。

release_thd和event_notify可以结合起来用，当事件触发event_notify时，这时候插件是不可以uninstall的，当完成调用后，服务器会通知release_thd函数。这样，我们可以在event_notify中分配资源，并在release_thd中统一的进行释放。

5．定义statues变量，用于指定在调用SHOWSTATIS时，显示哪些值

static struct st_mysql_show_var audit_null_status[]

6．插件的库描述符

mysql_declare_plugin(audit_null)            
 
{                                               
 
MYSQL_AUDIT_PLUGIN,         /* type                            */    
 
&audit_null_descriptor,     /* descriptor                            */    
 
"NULL_AUDIT",               /* name                            */    
 
"Oracle Corp",              /* author                             */    
 
"Simple NULL Audit",        /* description                          */    
 
PLUGIN_LICENSE_GPL,    
 
audit_null_plugin_init,     /* init function (when loaded)               */    
 
audit_null_plugin_deinit,   /* deinit function (when unloaded)             */