SQL Server中需用数据库级DDL触发器捕获GRANT/REVOKE权限操作，监听GRANT_DATABASE_PERMISSION等事件，提取EVENTDATA()中关键字段写入审计表；SERVER AUDIT异步且字段不全，而DDL触发器同步但可能影响性能。
SQL Server 里无法用 DML 触发器捕获 GRANT/REVOKE 操作
GRANT、DENY、REVOKE 这类权限变更属于 DDL（数据定义语言）行为，不是对表数据的 INSERT/UPDATE/DELETE，所以你在 Users 或 sys.database_principals 上建 AFTER INSERT 触发器完全无效——它根本不会被触发。
常见错误现象是：写了触发器、测试了 GRANT SELECT ON dbo.Table1 TO [user1]，但监控表一条记录都没写入，还以为是触发器语法错了。
真正起作用的是 DDL 触发器，且必须注册在数据库或服务器级别，监听 GRANT_DATABASE_PERMISSION、DENY_DATABASE_PERMISSION、REVOKE_DATABASE_PERMISSION 这类事件组。
用 DATABASE 级 DDL 触发器捕获权限变更
推荐在目标数据库上创建触发器，而不是服务器级——范围更可控，避免误捕其他库的权限操作。
关键点：
-
FOR GRANT_DATABASE_PERMISSION, DENY_DATABASE_PERMISSION, REVOKE_DATABASE_PERMISSION必须显式列出，不能只写DDL_DATABASE_LEVEL_EVENTS（它不包含权限事件） -
EVENTDATA()返回 XML，从中提取/EVENT_INSTANCE/ObjectName（被授权对象）、/EVENT_INSTANCE/TargetUserName（被赋权用户）、/EVENT_INSTANCE/PermissionType（SELECT/INSERT/CONTROL 等） - 别直接把整个
EVENTDATA()插入日志表——XML 可能超长，且含敏感上下文；只取必要字段，转成NVARCHAR - 触发器内避免查大表或调用函数（如
USER_NAME()），否则会拖慢GRANT执行，尤其在高并发权限管理场景下
示例片段：
CREATE TRIGGER tr_AuditPermissionChange
ON DATABASE
FOR GRANT_DATABASE_PERMISSION, DENY_DATABASE_PERMISSION, REVOKE_DATABASE_PERMISSION
AS
DECLARE @data XML = EVENTDATA();
INSERT INTO PermissionAuditLog (
event_time,
principal_name,
target_principal,
object_name,
permission_type,
statement
)
SELECT
@data.value('(/EVENT_INSTANCE/PostTime)[1]', 'datetime'),
@data.value('(/EVENT_INSTANCE/UserName)[1]', 'sysname'),
@data.value('(/EVENT_INSTANCE/TargetUserName)[1]', 'sysname'),
@data.value('(/EVENT_INSTANCE/ObjectName)[1]', 'sysname'),
@data.value('(/EVENT_INSTANCE/PermissionType)[1]', 'sysname'),
@data.value('(/EVENT_INSTANCE/TSQLCommand/CommandText)[1]', 'nvarchar(max)');
注意 SERVER AUDIT 和 DDL 触发器的区别
SQL Server Audit（CREATE SERVER AUDIT + DATABASE AUDIT SPECIFICATION）也能捕获权限变更，但它走的是异步审计管道，延迟不可控，且默认不记录 TargetUserName 这类细粒度字段——你只能看到“某人对某对象执行了 GRANT”，但不知道授给了谁。
而 DDL 触发器是同步执行的，EVENTDATA() 提供完整上下文，适合做实时告警或写入自定义审计表。但代价是：它会让 GRANT 命令变慢一点，且一旦触发器出错（比如日志表没权限写入），整个权限操作会失败并报错。
所以生产环境建议：
- 用 DDL 触发器写入轻量日志表（字段精简、无索引、无外键）
- 配合 SQL Server Agent 定时任务，把日志表里的新记录推送到钉钉/企微——不要在触发器里发 HTTP 请求
- 给触发器加
TRY...CATCH，防止因日志表异常导致业务权限操作中断
容易漏掉的权限变更类型
除了常见的 GRANT SELECT ON TABLE，以下操作同样需要监控，但对应不同事件名：
-
GRANT CONTROL SERVER→ 监听GRANT_SERVER_PERMISSION（需服务器级触发器） -
ALTER ROLE ... ADD MEMBER→ 监听ADD_ROLE_MEMBER，不是权限事件，是角色变更事件 -
sp_addrolemember系统存储过程 → 不触发任何标准 DDL 事件，必须靠 SQL Server Audit 或扩展事件（security_audit类型）捕获 - 通过 SSMS 图形界面赋权 → 底层仍走 GRANT 语句，会被上述 DDL 触发器捕获，无需额外处理
真正难防的是绕过 T-SQL 的方式：比如直接修改 sys.database_permissions（需高权限且极危险）、或用备份还原覆盖权限配置。这类操作无法靠触发器发现，得依赖定期比对权限快照或启用 C2 Audit Mode（已弃用）或 SQL Server Audit 的全面跟踪。
