sql server无法在dml触发器中阻断特定ip写入，因eventdata()不可用且connectionproperty('client_net_address')不可靠；唯一可行方案是使用logon触发器结合账号级权限隔离。
SQL Server 的触发器无法阻断「特定 IP 的写入」——因为写操作（INSERT/UPDATE/DELETE）发生在已建立连接之后，此时连接来源 IP 已不可用于 DML 触发器校验。你真正能控制的，只有登录环节。
为什么 DML 触发器拿不到写入请求的客户端 IP
在 INSTEAD OF 或 FOR INSERT/UPDATE/DELETE 触发器里，EVENTDATA() 不可用，CONNECTIONPROPERTY('client_net_address') 返回的是连接建立时的地址，但该值在触发器中**不可靠且未定义行为**：它可能为空、返回本地地址（如 ::1），或因连接复用/代理而失真。更重要的是，DML 触发器运行在事务上下文中，无法区分「谁发起这条语句」——它只看到当前会话的上下文，而这个会话早已通过 LOGIN 阶段。
- 常见错误现象：
SELECT CONNECTIONPROPERTY('client_net_address')在触发器里返回NULL或127.0.0.1，即使客户端来自192.168.5.100 - 根本原因：SQL Server 没有类似 PostgreSQL 的
pg_backend_pid()+pg_stat_activity实时关联机制；DML 触发器不暴露会话级网络元数据 - 性能影响：若强行在每个 INSERT 触发器里查
sys.dm_exec_sessions关联session_id = @@SPID，开销高、易阻塞，且结果仍不保证准确
真正可行的方案：用 LOGON 触发器限制登录 IP
SQL Server 唯一能稳定获取真实客户端 IP 的时机是 LOGON 事件，对应 EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]', 'NVARCHAR(45)')。你要做的不是拦写，而是拦连——让非法 IP 根本连不上库，自然没法写。
- 必须用
ON ALL SERVER级别创建，且WITH EXECUTE AS 'sa'（否则权限不足） -
ORIGINAL_LOGIN()获取登录名（不是CURRENT_USER()，后者是数据库用户） - 推荐用
CONNECTIONPROPERTY('client_net_address')作为 fallback，它比EVENTDATA()更稳定，尤其在某些网关或负载均衡场景下 - 务必加
SET NOCOUNT ON，否则任何SELECT输出都会导致登录失败
CREATE TRIGGER tr_block_bad_ip_on_login
ON ALL SERVER
WITH EXECUTE AS 'sa'
FOR LOGON
AS
BEGIN
SET NOCOUNT ON;
DECLARE @login_name SYSNAME = ORIGINAL_LOGIN();
DECLARE @ip NVARCHAR(45) = ISNULL(CONVERT(NVARCHAR(45), CONNECTIONPROPERTY('client_net_address')), '');
IF @login_name IN ('app_writer', 'etl_user')
AND @ip NOT IN ('192.168.10.5', '192.168.10.6', '127.0.0.1', '::1', '<local machine>')
BEGIN
ROLLBACK;
END
END;</local>
如果非要按 IP 控制写权限，绕不开账号隔离
所谓「按 IP 限制写操作」，本质是逻辑分离：不同 IP 的应用应使用不同登录账号，再通过 GRANT/REVOKE 控制其对表的 DML 权限。这是 SQL Server 原生支持、零风险的做法。
- 创建专用账号：
CREATE LOGIN [writer_192_168_10_5] WITH PASSWORD = '...'; - 只授必要权限：
GRANT INSERT, UPDATE ON dbo.orders TO [writer_192_168_10_5];，不给 DELETE 或其他表权限 - 应用连接字符串里硬编码对应账号，而非共用一个账号切换 IP
- 配合 LOGON 触发器进一步加固：比如只允许
writer_192_168_10_5从192.168.10.5登录，双重保险
别在 DML 触发器里折腾 IP 校验——它既不安全也不可靠。LOGON 触发器 + 账号粒度权限，才是 SQL Server 2022 下可落地、可审计、可维护的路径。最易被忽略的一点：所有 LOGON 触发器都必须有异常兜底（BEGIN CATCH ... ROLLBACK），否则触发器报错会导致整个实例拒绝所有新连接。
