如何审计特定IP对数据库的访问_基于触发器的SYS

SYS_CONTEXT('USERENV', 'IP_ADDRESS') 常为空，因负载均衡、代理或监听器配置导致真实客户端IP被剥离；应优先用AUDIT CONNECT配合DBA_AUDIT_SESSION.USERHOST，或在AFTER LOGON触发器中结合SESSIONID等字段增强可靠性。

触发器里用 `SYS_CONTEXT` 记录 IP 为什么常为空？

因为 sys_context('userenv', 'ip_address') 在多数 oracle 部署中返回空，尤其当数据库前端有负载均衡、代理或监听器配置了 use_dedicated_server=false。真实客户端 ip 往往被剥离，只留下中间节点地址（比如 127.0.0.1 或负载均衡内网 ip）。

实操建议：

先验证当前会话能否拿到真实 IP：
```
SELECT SYS_CONTEXT('USERENV', 'IP_ADDRESS') FROM DUAL;
```
如果返回空或非预期地址，说明环境不支持直接取值
若使用 Oracle Net（tnsnames.ora），检查服务器端 sqlnet.ora 是否设置了 SQLNET.INVITED_NODES 或启用了 VALID_NODE_CHECKING，这些可能干扰上下文提取
更可靠的方式是结合 SYS_CONTEXT('USERENV', 'HOST') 和审计视图 V$SESSION 中的 MACHINE 字段交叉比对，但注意 HOST 可能被客户端伪造

写 INSERT 触发器记录访问日志时，`AFTER LOGON ON DATABASE` 更合适

想审计“谁从哪连进来”，不是等某张表被查才记，而是连接建立那一刻就要捕获。用表级 INSERT 触发器完全跑偏——它只响应 DML，不感知登录行为。

实操建议：

创建系统级登录触发器：

CREATE OR REPLACE TRIGGER log_ip_on_logon<br>AFTER LOGON ON DATABASE<br>BEGIN<br>  INSERT INTO audit_login_log (username, ip_addr, login_time)<br>  VALUES (SYS_CONTEXT('USERENV','CURRENT_USER'),<br>         SYS_CONTEXT('USERENV','IP_ADDRESS'),<br>         SYSDATE);<br>END;

必须用 AFTER LOGON，BEFORE LOGON 里无法写入普通表（权限和事务状态受限）
确保目标日志表 audit_login_log 已存在，且触发器拥有 INSERT 权限；避免在触发器里调用复杂函数或远程 DBLink，否则登录可能失败

记录的 IP 地址在 RAC 环境下可能不一致

RAC 多实例场景中，用户连接的是 SCAN VIP，实际会话可能落在任意节点上。不同节点的 SYS_CONTEXT('USERENV', 'IP_ADDRESS') 返回值取决于该节点收到连接时的网络路径，同一用户两次登录可能记到不同 IP。

实操建议：

不要单独依赖 IP_ADDRESS 做唯一标识，应组合 CURRENT_USER + SESSIONID + LOGON_TIME 构成逻辑主键
若需追溯真实来源，优先查 V$SESSION.CONNECT_TIME 和 V$SESSION.CLIENT_INFO（如果应用层主动设过），比触发器里硬取更准
RAC 下启用 GLOBAL_NAMES=TRUE 并配合 DBMS_APPLICATION_INFO.SET_CLIENT_INFO，让应用在登录后立刻写入客户端标识，比等触发器更可控

`AUDIT` 命令和触发器记录 IP 的本质区别

AUDIT CONNECT 能记录登录事件，但它不保证包含 IP —— 默认只记用户名、时间、返回码；而触发器虽灵活，却绕过了 Oracle 审计框架，无法被 DBA_AUDIT_TRAIL 统一管理，也不受 AUDIT_TRAIL 参数控制。

实操建议：

生产环境优先用原生审计：
```
AUDIT CONNECT WHENEVER SUCCESSFUL;
```
再查 DBA_AUDIT_SESSION，其中 USERHOST 字段有时比 SYS_CONTEXT 更稳定（尤其配合 os_authent_prefix 和操作系统级日志）
触发器适合补漏：比如审计特定用户（WHERE SYS_CONTEXT('USERENV','CURRENT_USER') = 'APP_USER'），或需要写入自定义字段（如项目 ID、渠道编码）
两者都开启时，注意触发器执行开销——高并发登录下，频繁 INSERT 可能拖慢连接建立，建议日志表用 NOLOGGING + 异步批量写（如 UTL_QUEUE）缓解

真正难的不是写触发器，是确认那个 IP_ADDRESS 到底代表什么：是 TCP 层看到的，还是代理转发头里的，还是被 Oracle 监听器重写的。没摸清链路，光记下来也没法追责。