审核日志插件支持提供SQL接口来读取JSON格式的审核日志文件。（这项功能不适用于其他格式的日志文件。）

当审核日志插件初始化并配置为JSON日志记录时，它使用当前审核日志文件所在的目录作为搜索可读审核日志文件的位置。插件从audit_log_file系统变量的值中确定文件位置、基本名称和后缀，然后查找名称与以下模式匹配的文件，其中[...]表示可选的文件名部分：

basename[.timestamp].suffix[.gz][[.pwd_id].enc]

如果文件名以.enc结尾，该文件是加密的，读取其未加密的内容需要从密钥环中获取解密密码。

有关加密审核日志文件的更多信息，请参阅加密审核日志文件。

插件忽略了手动重命名的文件和不匹配模式的文件，以及使用不再可用的密码加密的文件。插件打开每个剩余的候选文件，验证文件实际包含JSON审核事件，并使用每个文件的第一个事件的时间戳对文件进行排序。结果是一个文件序列，subject to access using the log-reading functions：

audit_log_read()接受一个可选的JSON字符串参数，成功调用该函数或其他函数返回的结果是一个JSON字符串。

要使用这些函数来读取审核日志，请遵循以下原则：

要指定 audit_log_read() 的位置，需要包含一个指示从何处开始读取的参数。例如，传递一个书签，即一个包含 timestamp 和 id 元素的 JSON 哈希表，该哈希表唯一标识一个特定的事件。下面是一个通过调用 audit_log_read_bookmark() 函数获得的书签示例：

mysql> SELECT audit_log_read_bookmark();
+-------------------------------------------------+
| audit_log_read_bookmark()                       |
+-------------------------------------------------+
| { "timestamp": "2020-05-18 21:03:44", "id": 0 } |
+-------------------------------------------------+

将当前书签传递给 audit_log_read()，从书签位置开始初始化事件读取：

mysql> SELECT audit_log_read(audit_log_read_bookmark());
+-----------------------------------------------------------------------+
| audit_log_read(audit_log_read_bookmark())                             |
+-----------------------------------------------------------------------+
| [ {"timestamp":"2020-05-18 22:41:24","id":0,"class":"connection", ... |
+-----------------------------------------------------------------------+

传递给 audit_log_read() 的参数是可选的。如果存在，可以是一个 JSON null 值以关闭读取序列，或者是一个 JSON 哈希表。

在传递给 audit_log_read() 的哈希表参数中，项目是可选的，控制读取操作的方面，例如从何处开始读取或读取多少事件。以下项目是重要的（其他项目将被忽略）：

要指定audit_log_read()的起始位置，请传递一个哈希参数，该参数包括start项或包含timestamp和id项的书签。如果哈希参数同时包含start项和书签，将发生错误。

如果哈希参数不指定起始位置，读取将从当前位置继续。

如果时间戳值不包括时间部分，将假设时间部分为00:00:00。

接受的audit_log_read()示例参数：

从任一日志读取函数返回的JSON字符串可以根据需要进行操作。假设调用以获取书签产生了以下值：

mysql> SET @mark := audit_log_read_bookmark();
mysql> SELECT @mark;
+-------------------------------------------------+
| @mark                                           |
+-------------------------------------------------+
| { "timestamp": "2020-05-18 16:10:28", "id": 2 } |
+-------------------------------------------------+

使用该参数调用audit_log_read()可以返回多个事件。要限制audit_log_read()最多读取N个事件，请将字符串添加一个max_array_length项，值为该值。例如，要读取单个事件，请修改字符串如下：

mysql> SET @mark := JSON_SET(@mark, '$.max_array_length', 1);
mysql> SELECT @mark;
+----------------------------------------------------------------------+
| @mark                                                                |
+----------------------------------------------------------------------+
| {"id": 2, "timestamp": "2020-05-18 16:10:28", "max_array_length": 1} |
+----------------------------------------------------------------------+

修改后的字符串，当传递给audit_log_read()时，将产生最多包含一个事件的结果，无论有多少事件可用。

在MySQL 8.0.19之前，审核日志函数返回的字符串值是二进制字符串。要使用二进制字符串与需要非二进制字符串的函数（例如，操作JSON值的函数），请将其转换为非二进制字符串。例如，在将书签传递给JSON_SET()之前，请将其转换为utf8mb4，如下所示：

SET @mark = CONVERT(@mark USING utf8mb4);

该语句即使在MySQL 8.3中也可以使用，对于这些版本来说，它基本上是一个no-op且无害。

如果从mysql客户端内部调用审核日志函数，二进制字符串结果将使用十六进制表示，取决于--binary-as-hex选项的值。有关该选项的更多信息，请参阅第 6.5.1 节，“mysql — MySQL 命令行客户端”。

要设置audit_log_read()读取的字节数限制，可以设置audit_log_read_buffer_size系统变量。该变量的默认值为 32KB，可以在运行时设置。每个客户端都应该根据其使用audit_log_read()的情况设置适当的会话值audit_log_read_buffer_size。

每次调用audit_log_read()都将返回尽可能多的可用事件，直到达到缓冲区大小。缓冲区大小不足的事件将被跳过并生成警告。因此，在评估应用程序的适当缓冲区大小时，需要考虑以下因素：

有关审核日志读取函数的更多信息，请参阅审核日志函数。