审计日志插件支持提供 SQL 接口以读取 JSON 格式的审计日志文件的功能。（此功能不适用于以其他格式写入的日志文件。）

当审计日志插件初始化并配置为 JSON 日志记录时，它使用包含当前审计日志文件的目录作为搜索可读审计日志文件的路径。插件从 audit_log_file 系统变量的值中确定文件路径、基本名称和后缀，然后查找与以下模式匹配的文件名，其中 [...] 表示可选的文件名部分

basename[.timestamp].suffix[.gz][[.pwd_id].enc]

如果文件名以 .enc 结尾，则该文件已加密，读取其未加密的内容需要从密钥环获取解密密码。审计日志插件按如下方式确定解密密码的密钥环 ID

有关加密的审计日志文件的更多信息，请参见 加密审计日志文件。

插件会忽略已手动重命名的与模式不匹配的文件，以及使用密钥环中不再可用的密码加密的文件。插件会打开每个剩余的候选文件，验证文件是否实际包含 JSON 审计事件，并使用每个文件第一个事件的时间戳对文件进行排序。结果是一系列文件，可以使用日志读取功能访问这些文件

audit_log_read() 接受一个可选的 JSON 字符串参数，并且从成功调用任一函数返回的结果都是 JSON 字符串。

要使用这些函数读取审计日志，请遵循以下原则

要指定位置到 audit_log_read()，请包含一个参数来指示从哪里开始读取。例如，传递一个书签，它是一个 JSON 哈希，包含 timestamp 和 id 元素，它们唯一地标识特定事件。以下是一个示例书签，通过调用 audit_log_read_bookmark() 函数获取。

mysql> SELECT audit_log_read_bookmark();
+-------------------------------------------------+
| audit_log_read_bookmark()                       |
+-------------------------------------------------+
| { "timestamp": "2020-05-18 21:03:44", "id": 0 } |
+-------------------------------------------------+

将当前书签传递给 audit_log_read() 会初始化从书签位置开始的事件读取。

mysql> SELECT audit_log_read(audit_log_read_bookmark());
+-----------------------------------------------------------------------+
| audit_log_read(audit_log_read_bookmark())                             |
+-----------------------------------------------------------------------+
| [ {"timestamp":"2020-05-18 22:41:24","id":0,"class":"connection", ... |
+-----------------------------------------------------------------------+

传递给 audit_log_read() 的参数是可选的。如果存在，它可以是 JSON null 值以关闭读取序列，或者是一个 JSON 哈希。

在传递给 audit_log_read() 的哈希参数中，项目是可选的，并控制读取操作的各个方面，例如从哪里开始读取或读取多少事件。以下项目很重要（其他项目会被忽略）。

要指定 audit_log_read() 的起始位置，请传递一个包含 start 项目或包含 timestamp 和 id 项目的书签的哈希参数。如果哈希参数同时包含 start 项目和书签，则会发生错误。

如果哈希参数没有指定起始位置，则从当前位置继续读取。

如果时间戳值不包含时间部分，则假定时间部分为 00:00:00。

audit_log_read() 接受的示例参数

从任何日志读取函数返回的 JSON 字符串可以根据需要进行操作。假设调用以获取书签会产生以下值。

mysql> SET @mark := audit_log_read_bookmark();
mysql> SELECT @mark;
+-------------------------------------------------+
| @mark                                           |
+-------------------------------------------------+
| { "timestamp": "2020-05-18 16:10:28", "id": 2 } |
+-------------------------------------------------+

用该参数调用 audit_log_read() 可以返回多个事件。要将 audit_log_read() 限制为最多读取 N 个事件，请在字符串中添加一个值为 max_array_length 的项目。例如，要读取单个事件，请修改字符串，如下所示。

mysql> SET @mark := JSON_SET(@mark, '$.max_array_length', 1);
mysql> SELECT @mark;
+----------------------------------------------------------------------+
| @mark                                                                |
+----------------------------------------------------------------------+
| {"id": 2, "timestamp": "2020-05-18 16:10:28", "max_array_length": 1} |
+----------------------------------------------------------------------+

修改后的字符串在传递给 audit_log_read() 时，会产生一个包含最多一个事件的结果，无论有多少事件可用。

如果从 mysql 客户端调用审计日志函数，则二进制字符串结果将使用十六进制表示法显示，具体取决于 --binary-as-hex 的值。有关该选项的更多信息，请参见 第 6.5.1 节“mysql — MySQL 命令行客户端”。

要设置 audit_log_read() 读取的字节数限制，请设置 audit_log_read_buffer_size 系统变量。该变量的默认值为 32KB，可以在运行时设置。每个客户端都应该为其对 audit_log_read() 的使用设置其会话的 audit_log_read_buffer_size 值。

每次调用 audit_log_read() 都将返回尽可能多的可用事件，这些事件适合缓冲区大小。不适合缓冲区大小的事件将被跳过并生成警告。考虑到这种行为，在评估应用程序的适当缓冲区大小时，请考虑以下因素。

有关审计日志读取函数的更多信息，请参见 审计日志函数。