SQL Server如何拦截非法的主机连接_编写LOGON触发器校验HOST

应使用EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]', 'NVARCHAR(128)')获取真实客户端IP，HOST_NAME()因可伪造且常为空而不可靠；白名单需显式校验NULL并用LIKE匹配IP段，触发器须以sa身份创建，故障时依赖DAC修复。

sql server如何拦截非法的主机连接_编写logon触发器校验host_name

不能只靠 HOST_NAME() 拦截主机连接，它在多数远程场景下返回空或不可靠值，直接用会放行大量非法连接。

为什么 `HOST_NAME()` 在登录触发器里基本失效

SQL Server 的 HOST_NAME() 函数返回的是客户端应用程序（比如 SSMS、.NET 连接字符串里指定的）主动传入的「工作站名」，不是真实网络来源。这个值可被任意伪造，例如用 Application Name=EvilBox;Workstation ID=ProdBox 就能绕过基于 HOST_NAME() 的白名单。

远程连接时，若客户端未显式设置 Workstation ID，HOST_NAME() 通常返回空字符串或 NULL
Windows 身份验证下，该值常为空；SQL 登录方式下也高度依赖驱动行为
所有主流 .NET、JDBC、ODBC 驱动都允许覆盖该字段，无任何校验机制

真正可用的客户端标识：从 `EVENTDATA()` 提取 `ClientHost`

登录触发器中唯一可信的网络标识来自 EVENTDATA() 的 XML 输出，其中 /EVENT_INSTANCE/ClientHost 是 SQL Server 实际解析出的客户端 IP 或主机名（取决于网络配置和协议）。

IPv4 地址（如 '192.168.1.105'）最常见且稳定
启用 TCP/IP 且未禁用反向 DNS 查找时，可能返回主机名（但不推荐依赖，因 DNS 可被污染）
本地连接（localhost、127.0.0.1、）始终可被识别
必须用 EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]', 'NVARCHAR(128)') 提取，类型必须是 NVARCHAR，否则强制转换可能失败

写一个可靠白名单触发器的实操要点

以下是一个生产可用的模板，兼顾可读性与健壮性：

使用Go语言搭建家庭相册系统-相关课件

下载

CREATE TRIGGER tr_AllowedHosts ON ALL SERVER
FOR LOGON
AS
BEGIN
    DECLARE @client NVARCHAR(128) = EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]', 'NVARCHAR(128)');
<pre class="brush:php;toolbar:false;">-- 允许本机 + 明确 IP 段（支持 CIDR 需自行解析，此处用 LIKE 粗略匹配）
IF @client NOT IN ('127.0.0.1', '<local machine>', '192.168.1.50', '10.24.15.15')
   AND @client NOT LIKE '192.168.1.%'
   AND @client IS NOT NULL
BEGIN
    RAISERROR('Login rejected: client host not in whitelist.', 16, 1);
    ROLLBACK;
END</local>

END;