MySQL触发器捕获变更最可靠，需处理NULL值、用JSON_OBJECT构造变更字段、审计表用ARCHIVE引擎；PHP层拦截需防漏判和递归；用户标识须多场景适配；审计表必建联合索引并避免JOIN。
用 MySQL 触发器捕获 INSERT/UPDATE/DELETE 操作
直接在数据库层记录变更最可靠，不依赖 PHP 逻辑是否执行成功或是否绕过。触发器能确保哪怕通过命令行、其他语言或直接 SQL 修改数据，也留下痕迹。
常见错误是只记录 NEW.id 或 OLD.id，但没处理 NULL（比如 INSERT 无 OLD，DELETE 无 NEW），导致触发器报错 ERROR 1362: Can't update table 'xxx' in stored function/trigger。
- 审计表需单独建，字段至少包含：
table_name、operation（'INSERT'/'UPDATE'/'DELETE'）、row_id（被操作行主键值，UPDATE 可存OLD.id）、changed_fields（JSON 格式，如{"name":"old","email":"new"}）、modified_by（从USER()或自定义 session 变量取）、created_at - UPDATE 触发器里别直接拼接
CONCAT所有字段——字段多时易超长度，改用JSON_OBJECT动态构造变更对象 - 避免在触发器里调用存储过程或写大文本日志，会显著拖慢写入性能；审计表建议用
ARCHIVE引擎或定期归档
PHP 中统一拦截 ORM 或 PDO 操作
如果业务已用 Doctrine、Eloquent 或原生 PDO，在代码层拦截更灵活，能拿到上下文如用户 ID、请求路径、IP 等。
容易踩的坑是只监听 execute()，却漏掉 prepare() 后未执行的语句，或把批量 INSERT 当成单条处理，导致 row_id 记录错乱。
立即学习“PHP免费学习笔记（深入）”；
- 对
PDO：用PDO::setAttribute(PDO::ATTR_STATEMENT_CLASS, [...])注入自定义 Statement 类，在execute()前解析$this->queryString和$this->bindValue参数，提取表名和主键值 - 对
Eloquent：监听eloquent.updating、eloquent.created等事件，但注意updating事件里$model->getChanges()只返回脏字段，且不包含原始值——需提前在retrieved事件里缓存$model->getOriginal() - 别在模型事件里直接写审计日志到同库同表——可能引发递归触发或死锁；写审计表必须用独立连接或异步队列
如何安全获取“谁修改”的用户标识
不能只信 $_SESSION['user_id'] 或 Auth::id()，因为 CLI 脚本、队列任务、API Token 请求可能没走同一套认证流程，甚至管理员后台直连数据库绕过 PHP。
典型错误是把 USER() 当作操作人——它返回的是 MySQL 用户（如 'app@localhost'），不是业务用户。
- Web 请求：优先从请求上下文取，比如 Laravel 的
request()->attributes->get('auth_user_id')，比读 session 更可靠 - CLI/队列：启动时显式传入
--actor=123，并在审计逻辑中检查该参数是否存在，否则拒绝写入 - MySQL 层补充：用
SET @current_actor = 123初始化会话变量，触发器中读@current_actor；需确保每次连接都设，可用PDO::ATTR_INIT_COMMAND统一设置
审计日志查起来太慢？几个硬核优化点
审计表数据增长极快，不做优化几个月后 SELECT * FROM audit_log WHERE table_name='users' 就会卡住整个库。
最容易被忽略的是没建联合索引，只对 created_at 单独加索引，结果按表名查还是全表扫。
- 必建复合索引：
INDEX idx_table_op_time (table_name, operation, created_at)，覆盖最常用查询组合 - 分区表可选但非必须：按月对
created_at分区（PARTITION BY RANGE (TO_DAYS(created_at))），删旧数据只需DROP PARTITION，不锁表 - 禁止在审计表上做
JOIN查原始数据——应只存关键字段摘要；真要关联查，用应用层两次查询，或建物化视图（MySQL 8.0+）
审计不是记流水账，而是为追溯留证据。字段设计、索引策略、执行时机这三处没对齐业务真实诉求，日志很快变成一堆查不动又不敢删的僵尸数据。
