「騰訊雲CDB」MySQL審計功能大揭秘

Query動作審計工作流程如上圖，需要留意的是在語句執行前和執行後都有審計，通過上面的宏MYSQL_AUDIT_GENERAL_LOG和MYSQL_AUDIT_GENERAL_RESULT告訴Audit是執行前後進入的審計模組，基於此可以做一些更細分的功能。當執行結果有錯時，通過MYSQL_AUDIT_GENERAL_ERROR來告知審計模組。

實例流程演示：

文字描述抽象，下面以一個select 語句實例演示下審計流程。

執行語句: select *from t2;

當語法解析重寫完成後，在execute執行前，會在LOGGER::log_command（）中進入審計流程，代碼中增加了處理審計邏輯代碼：

不論審計外掛程式有沒有安裝都會進入這個函數，進入這個函數第一件事就會判斷是否有審計外掛程式，沒有安裝審計會直接跳過所有審計邏輯，這個函數就是上面第3點介紹的獲取有用值兩個內聯函數之一 : mysql_audit_general_log

在mysql_audit_notify會判斷下是連接語句還是通用語句，然後調用對應的函數，如本例中會調通用語句處理介面general_class_handler

在general_class_handler函數之後，語句的資訊就已經有了，保存在event結構中，上面語句在gdb中 實際列印的結果如下：

(gdb) p *(mysql_event_general *)event

$2 = {event_subclass = 0, general_error_code = 0, general_thread_id = 1, general_user = 0x7fd27aa51050

"root[root] @ localhost [127.0.0.1]",

general_user_length = 34, general_command = 0xc76b19 "Query", general_command_length = 5,

general_query = 0x7fd1f5c1a010 "select *from t2", general_query_length = 15, general_charset = 0x12e27e0, general_time = 1505712354,general_rows = 0, general_host = {str = 0xbe4d2f "localhost", length = 9}, general_sql_command = {str = 0xd29b04 "select", length = 6},

general_external_user = {str = 0xc70579 "", length = 0}, general_ip = {str = 0x7fd1f5c12040 "127.0.0.1", length = 9}}

可以非常清楚的看到語句內容，時間，類型等資訊。 當 execute執行後，會在 dispatch_command （） 函數尾部會調用審計介面：

這裡調用的是 mysql_audit_general，也是上面第3點介紹的獲取有用值另一個內聯函數，功能和mysql_audit_general_log相同，帶log的為執行前調，不帶log的為執行後調，區別在於記錄的值略有差異，如執行前的值裡沒錯誤狀態，執行後的值是有的，成功為0，失敗為對應的錯誤代碼。在mysql_audit_general之後流程和上面mysql_audit_general_log一樣，不再介紹。

這兩個內聯函數處理的是Query語句，另外有三個宏MYSQL_AUDIT_NOTIFY_CONNECTION_CONNECT、MYSQL_AUDIT_NOTIFY_CONNECTION_DISCONNECT、MYSQL_AUDIT_NOTIFY_CONNECTION_CHANGE_USER是處理登陸、登出、換用戶時用，功能和前兩個函數大同小異，不再贅述。

審計是記錄歷史動作，但有些情況下，光歷史記錄遠遠不夠。對於應用系統，很多語句都是都是綁定參數運行的，直觀審計到的就是一條條帶問號的語句，不能看到實際動作，若要還原真實語句，需要聯繫上下語句分析，非常不便，這就要求審計有一定的語句還原拼接功能，把參數和內容放一起展示。更進一步，假如有人非常瞭解審計系統，知道審計記錄不會永久存放，在某時刻建一個帶有破壞性的存儲過程，等超期不再保留建立過存儲程記錄後，執行並刪除，真實運行動作將無法通過審計得知，對這類操作，就有了反向追蹤運行內容語句的需求，尤其在金融行業中。

另一方面，審計用戶也應該是個特權用戶，和超級用戶互相制約。審計用戶應該獨立出來，有超級用戶不能修改的帳號密碼，專門用於審計相關操作，如開關審計，設置審計策略，查閱審計結果，超級用戶不能干涉這些動作，保證審計記錄的真實性和完整性。審計使用者帳號應該掌握在客戶最核心人手中，以對超級用戶活動形成制衡，更加保證資料的安全。

再深入一層，有客戶需求可能希望不同使用者看到的內容不一樣，對敏感性資料根據不同使用者進行自動過濾，嚴格來說這已經不再屬於審計範圍了，屬於資料安全問題，需要有更嚴密的處理邏輯來實現。對於資料庫產品來說，基於BLP模型的強制存取控制（MAC）是實現該需求的方法之一，該模型關鍵在於許可權標籤，對主客體進行標識，每個主體客體都有自己的標籤，許可權高的可訪問修改低的物件，低許可權的不能看到高許可權的內容，對每個表、列甚至行都打上標籤，對內容過濾可以做到列級直至行級。

從實現方式來說，這幾個外掛程式也差不太多，從thd物件中取到所需要的屬性，按一定規則過濾，按某種策略存檔，以json或xml等格式展示審計結果。

從5.5開始，mysql內核中已經增加了一套的對伺服器操作的審計機制的介面，添加了額外的審計流程來對我們所關心的地方進行事件捕獲，如果要對伺服器進行審計，只要基於這些完善一個外掛程式即可。mysql審計介面官方第一次是提交到代碼是2009年底，歷史也比較悠久了，修改和增加的檔並不多，幾個關鍵點介紹下。

在plugin.h中增加一個新的巨集 MYSQL_AUDIT_PLUGIN 用來標識一類全新的外掛程式類型：AUDIT外掛程式

增加了一個新的標頭檔：plugin_audit.h,裡面有審計相關的關鍵的結構體及一些巨集定義，如下： mysql_event_general結構，query資訊結構，對應非登陸相關的動作，如執行一個語句select或一個命令exit。

mysql_event_connection，連接資訊結構，對應登陸登出動作

所有動作都可以用這兩個結構來描述，但是並不是說就能滿足全部需求，比方說，對general動作，我想知道語句是針對哪些表的，執行了多長時間，無法得到，對於connect動作，我想知道是什麼時間發生的，無從得知，這肯定是不夠的，仍需我們去繼續豐富功能點。

幾個關鍵的巨集定義：

3. 核心功能實現代碼：sql_auditc.h,sql_audit.cc,初始化，回收，以及最重要的取出thd物件有效值等一系列動作均在此完成。

在sql_auditc.h中，定義了兩個內聯函數和三個巨集，功能是獲取到thd物件中有用值，如用戶名，資料庫名，時間，sql內容等所需要資訊，以參數的形式傳給下一層介面。每個動作，都會從這裡獲取原始資訊，會頻繁調用這幾個函數，所以使用了宏和內聯函數來提高性能。

在sql_audit.cc中，除了審計外掛程式初始化，回收外，最重要的功能獲得操作原始資訊，在這裡實現了函數獲得上面sql_auditc.h中通過參數形式傳入的有用資訊，並存入mysql_event_general和mysql_event_connection結構。

4. mysql其它一些連接、插入、解析、日誌等介面也增加了審計入口函數。如mysqld.cc、sql_parse.cc等檔中函數增加了審計入口。

登陸登出流程