在数据库运维中，慢查询不仅影响业务响应速度，也可能是异常访问的信号。当一条SQL执行时间超过设定阈值，需要记录并分析其来源。按访问IP归类，可以快速定位是哪个IP在发起大量慢请求，从而判断是正常业务、低效查询还是恶意攻击。
同一慢SQL可能来自不同IP，单个IP也可能触发多个慢查询。将慢查询日志中的客户端IP提取出来，按IP进行聚合统计，观察每个IP产生的慢查询次数、耗时总和、涉及的SQL模式，能够帮助DBA锁定异常源头。
long_query_time阈值，如1秒或2秒。MySQL自带的mysqldumpslow可汇总慢查询，但不会直接按IP归类。可使用pt-query-digest结合参数进行分组，或者通过日志分析平台如ELK将IP字段索引化，实现快速检索。对于轻量场景，可用awk或Python脚本解析日志，灵活生成统计报表。
一旦定位到异常IP，可采取防火墙限制、应用层拦截、数据库连接数限制等手段。同时要优化慢SQL本身，避免业务高峰出现同类问题。对于疑似攻击行为，应保留日志并进一步联动安全设备分析。
企业微信
微信公众号
