fga策略触发时强制重解析sql，因其在解析阶段介入并构造带审计钩子的执行计划，绕过共享池缓存，导致硬解析增加、性能下降。
FGA策略触发时会强制重解析SQL
FGA不是简单地在语句执行后打个日志，而是在解析阶段就介入。只要目标对象（如表或视图）绑定了FGA策略，且当前语句命中策略条件（哪怕只是SELECT * FROM emp），Oracle就必须为该SQL构造一个带审计钩子的执行计划。这个过程绕过了共享池中已缓存的普通计划，导致硬解析——尤其是当cursor_sharing设为EXACT或SQL含字面量时，重复执行同一查询也会反复解析。
常见错误现象：v$session_event中出现大量library cache lock或parse time elapsed等待；AWR报告里“Hard Parse Ratio”飙升；v$sql中相同sql_id对应多条child_number记录，且is_bind_sensitive=YES。
- 影响范围不限于被审计用户：任何以不同
client_identifier或context值执行该SQL的会话，都会触发独立解析 - Oracle 12c+引入了
DBMS_FGA.ADD_POLICY的statement_types参数，但未改变解析机制本身 - 若策略中使用了
handler_schema和handler_module，还会额外增加PL/SQL调用开销
审计条件谓词拖慢优化器估算
FGA策略的audit_condition（比如salary > 1000000）会被优化器纳入谓词评估路径。即使该条件不参与实际数据过滤，优化器仍需估算其选择率，尤其当条件涉及函数、子查询或绑定变量时，容易误判基数，导致生成次优计划——例如本该走索引扫描的，却选了全表扫描。
使用场景：在OLTP系统中对高频查询表（如orders）启用FGA，且条件含sys_context('USERENV','IP_ADDRESS')这类动态函数，性能抖动会更明显。
- 可通过
dbms_xplan.display_cursor比对开启/关闭FGA时的Predicate Information部分，确认是否多出access("SALARY">1000000)类冗余访问路径 -
DB_EXTENDED模式下，审计还捕获绑定变量，进一步加剧硬解析和内存争用 - Oracle 10g起支持DML语句审计，但UPDATE/DELETE的FGA策略对DML路径的影响比SELECT更隐蔽，容易被忽略
审计日志写入与业务事务强耦合
FGA默认将审计记录写入SYS.FGA_LOG$表，且该写入与用户事务处于同一一致性读视图下。这意味着：如果用户事务长时间未提交，FGA日志插入也会被阻塞；反之，大量FGA记录集中写入，又可能推高log file sync等待，拖慢所有并发事务的提交速度。
性能/兼容性影响：在RAC环境中，FGA_LOG$是全局表，跨实例写入会引发额外的GC（Global Cache）争用；Oracle 12c+虽支持Unified Audit Trail，但FGA仍默认走传统路径，需显式迁移。
- 不要把
FGA_LOG$所在表空间放在高延迟存储上，否则单次审计写入就可能卡住整个会话 - 避免在高峰期对核心交易表启用含复杂条件的FGA策略，尤其是那些每秒被查询数百次的表
- 若必须审计，优先考虑
AUDIT_TRAIL=OS或XML模式，但要注意OS文件权限和归档策略
客户端标识未正确传递时的隐式降级
当Web应用使用连接池（如APPUSER固定账号），又未通过DBMS_SESSION.SET_IDENTIFIER或ALTER SESSION SET CLIENT_IDENTIFIER设置client_identifier时，FGA策略里的sys_context('USERENV','CLIENT_IDENTIFIER')返回空值。此时Oracle无法做细粒度判断，可能退化为对所有访问都触发审计逻辑，相当于变相开启全表审计。
容易踩的坑：开发人员只在应用登录时设一次CLIENT_IDENTIFIER，但连接复用后该值未刷新；或ORM框架（如MyBatis）自动重连时丢失上下文。
- 检查方式：
SELECT client_identifier FROM v$session WHERE username = 'APPUSER'，确认值是否随业务用户变化 - 修复建议：在每次从连接池获取连接后，立即执行
EXEC DBMS_SESSION.SET_IDENTIFIER('SCOTT') - Oracle 11g起支持
DBMS_APPLICATION_INFO.SET_CLIENT_INFO，但FGA不识别该字段，仅CLIENT_IDENTIFIER有效
真正影响性能的从来不是“审计要不要记”，而是“什么时候记、记多少、怎么记”。FGA的条件引擎和日志路径深度嵌入执行链路，稍有不慎就会让安全措施变成性能瓶颈。最常被忽略的是：策略条件里的函数调用是否可内联、客户端标识是否真正在每个业务请求中刷新、以及FGA_LOG$表的维护窗口是否避开业务高峰。
