如何在Java中实现Oracle会话级审计与跟踪-Oracle-PHP中文网

oracle会话级审计必须由dba通过audit命令在数据库端配置，java应用无法直接触发，仅能通过setclientinfo设置module/action辅助归因，或调用dbms_monitor进行会话跟踪。

如何在java中实现oracle会话级审计与跟踪

Oracle会话级审计必须用 `AUDIT` 命令，Java里不能直接触发

Java 应用本身不参与 Oracle 的审计策略配置，AUDIT 是数据库级 DDL 操作，必须由具备 ALTER SYSTEM 或 ADMINISTER DATABASE TRIGGER 权限的用户在 SQL*Plus、SQL Developer 或 JDBC 执行。Java 只能作为“被审计对象”存在——它的连接会话是否被审计，取决于 DBA 事先配置的策略。

常见误区是试图在 Java 里调用 Connection.createStatement().execute("AUDIT SELECT ON scott.emp BY SESSION")，这会抛出 ORA-01031: insufficient privileges（除非连接用户被显式授权，但生产环境几乎不会给应用账号该权限）。

审计策略生效范围是整个实例或指定用户/对象，不是某个 Java 连接池里的 Connection 实例
Java 中唯一可控的是会话标识：通过 setClientInfo("OCSID", "my-app-v2-login-123") 或设置 MODULE/ACTION，方便后续在 DBA_AUDIT_TRAIL 或 V$SESSION 中归因
若需按 Java 用户动态开启审计，应走运维通道：Java 调用 REST API 触发 Ansible 脚本执行 SQL，而非直连 DB 执行 AUDIT

`DBMS_MONITOR` 是 Java 跟踪会话最实用的方式

相比审计（记录“谁做了什么”），跟踪（trace）更关注“SQL 怎么执行的”，而 DBMS_MONITOR.SESSION_TRACE_ENABLE 是 Java 场景下最可控的入口。它支持按 SID + SERIAL# 精确启用，且无需 DBA 持续干预。

关键点在于：Java 必须先获取当前会话的 SID 和 SERIAL#，再调用 PL/SQL 过程。示例如下：

js2java

JavaScript 到 Java 全栈翻译助手，专为前端开发者学习 Java 或快速实现后端业务逻辑而设计。当用户提到以下场景时必须使用此技能： - "帮我把这段 JS 代码转成 Java" - "用 Java 怎么写这个逻辑" - "我习惯用 JS 写，想翻译成 Java" - "教我 Java，我要写后端接...

下载

String getSidSerial = "SELECT SID, SERIAL# FROM V$MYSTAT WHERE ROWNUM = 1";
ResultSet rs = conn.createStatement().executeQuery(getSidSerial);
rs.next();
int sid = rs.getInt(1);
int serial = rs.getInt(2);
<p>String enableTrace = "BEGIN DBMS_MONITOR.SESSION_TRACE_ENABLE(" +
sid + ", " + serial + ", waits => TRUE, binds => TRUE); END;";
conn.createStatement().execute(enableTrace);</p>

必须确保连接用户有 EXECUTE on DBMS_MONITOR（通常需 DBA 授权 SELECT_CATALOG_ROLE）
waits => TRUE 记录等待事件，binds => TRUE 记录绑定变量值——这对排查参数化查询性能问题至关重要
跟踪文件生成在服务器端 USER_DUMP_DEST 目录，Java 无法直接读取，需配合 tkprof 或 AWR 报告分析
务必配对调用 SESSION_TRACE_DISABLE，否则 trace 文件持续增长，可能填满磁盘

Java 中设置 `MODULE` 和 `ACTION` 让审计日志可读

默认 Oracle 审计日志（如 DBA_AUDIT_TRAIL）中的 OS_USERNAME 和 USERNAME 字段区分度低，大量 Java 连接常显示为同一数据库用户（如 APP_USER）。此时 MODULE 和 ACTION 是唯一直接由 Java 控制、且会被写入审计视图的字段。

使用方式简单，但效果显著：

conn.setClientInfo("MODULE", "OrderService");
conn.setClientInfo("ACTION", "placeOrder-20240521-789");

设置后，所有该连接执行的语句在 DBA_AUDIT_TRAIL.MODULE 和 DBA_AUDIT_TRAIL.ACTION 列中可见
结合 AUDIT SELECT TABLE BY APP_USER BY SESSION WHENEVER SUCCESSFUL，就能筛选出“OrderService 模块下所有成功的 SELECT”
注意：部分旧版 Oracle 驱动（ojdbc6 及更早）不支持 setClientInfo 写入 V$SESSION，建议用 ojdbc8+ 并确认 V$SESSION.MODULE 实时更新
若用 HikariCP 等连接池，需在 connection-init-sql 中执行 DBMS_APPLICATION_INFO.SET_MODULE，避免每次 getConnection() 后手动设

审计与跟踪数据落地后，Java 只能查，不能删或改

审计记录存于 UNDO 表空间或专用审计表（如 AUD$），跟踪文件在操作系统文件系统——这两者都不受 Java 应用控制。Java 能做的仅限于查询和关联分析。

查审计记录：SELECT * FROM DBA_AUDIT_TRAIL WHERE MODULE = 'PaymentService' AND TIMESTAMP > SYSDATE - 1/24
查当前会话跟踪状态：SELECT SQL_TRACING FROM V$SESSION WHERE SID = ?
清理需 DBA 手动执行 DBMS_AUDIT_MGMT.CLEAN_AUDIT_TRAIL 或调整 AUDIT_TRAIL 参数，Java 无权限调用
最容易被忽略的是：审计开关（AUDIT_TRAIL 参数）必须设为 DB 或 XML，默认 NONE 下所有 AUDIT 命令都静默失效，且不报错