PostgreSQL数据库DML语句审计指标获取方案咨询

方案1：基于pg_logical的逻辑解码审计 #

• 核心原理：利用PostgreSQL原生逻辑复制机制，解码WAL日志获取全量已提交DML操作数据，天然无遗漏
• 可完全覆盖所需审计指标：
  • 执行用户：从WAL元数据中直接提取事务发起的数据库用户名
  • 执行时间：关联事务提交时间戳，精度可达毫秒级
  • 语句内容：可配置解码插件输出原始执行SQL
  • 影响表名：WAL中直接关联操作表OID，可映射为实际表名
  • 影响行数：WAL中包含每条元组变更记录，可直接统计单条语句影响的总行数
• 额外优势：性能损耗不到2%，远低于触发器；支持将解码结果输出到本地日志、消息队列供外部解析，无需修改业务表结构
• 配置提示：需将wal_level参数设置为logical，可直接选用成熟的wal2json、decoderbufs等解码插件，无需修改数据库内核

方案2：基于PostgreSQL钩子机制的自定义审计扩展 #

• 核心原理：通过PostgreSQL开放的executor_run、process_utility等扩展钩子，在DML语句执行的生命周期节点埋点，直接捕获全量上下文信息
• 适配性：可按需定制采集逻辑，只过滤DML语句，完全丢弃SELECT等不需要的审计数据，避免日志冗余；可直接内置表名解析、影响行数统计逻辑，无需后续二次解析
• 额外优势：性能损耗控制在5%以内，远低于触发器；支持将审计日志直接写入本地文件、系统表或外部存储，可自定义输出格式适配外部解析需求
• 实现提示：不需要修改内核源码，以独立扩展形式部署即可，可理解为完全定制化的轻量pgaudit，规避原生pgaudit的功能局限性

方案3：数据库代理层审计 #

• 核心原理：在应用与数据库之间部署数据库代理（可基于开源pgproxy类项目二次开发），在流量转发层解析SQL语句，匹配到DML类型后关联执行用户、执行时间、语句内容，再结合执行后数据库返回的结果包提取影响行数、关联操作表名
• 额外优势：完全无侵入数据库侧，不需要调整数据库参数、安装插件；所有审计逻辑在代理层实现，天然支持批量导出审计日志到外部分析系统
• 注意点：需适配预处理语句、事务内多语句、批量操作等场景，确保语句、执行结果、用户的关联关系准确，避免漏记

内容的提问来源于stack exchange，提问作者AJY