怎么在Oracle 19c中限制用户只能从指定IP地址登录-Oracle-PHP中文网

sqlnet.ora的tcp.invited_nodes仅在TCP连接初期校验源IP，不识别用户名，无法实现“某用户仅限某IP”；该限制是全局网络层拦截，必须配合登录触发器（如AFTER LOGON ON username.SCHEMA）结合sys_context('USERENV','IP_ADDRESS')才能按用户+IP精准控制。

怎么在oracle 19c中限制用户只能从指定ip地址登录

sqlnet.ora 的 tcp.invited_nodes 不管用户，只管连接层

它根本看不到用户名，所以无法实现“scott 只能从 192.168.5.100 登录”这种需求。配置 tcp.invited_nodes = (192.168.5.100) 后，所有用户（包括 hr、appuser、甚至 SYS）都只能从这个 IP 连接——这不是按用户控制，是全局 TCP 层拦截。

常见错误现象：

加了 tcp.invited_nodes 却发现本机 sqlplus / as sysdba 失败 → 忘记把数据库服务器自身 IP 加进去，localhost 和 127.0.0.1 无效，必须写真实网卡 IP
重启监听时报 TNS-12560 → 很可能漏掉了 VIP、SCAN IP 或 RAC 中的某个节点地址
想限制“某用户 + 某 IP”，结果连 tnsping 都不通 → 因为拦截发生在网络握手阶段，不是认证后

AFTER LOGON ON username.SCHEMA 是唯一可行路径

只有登录触发器能拿到用户名和 IP 的组合信息，但必须严格限定作用域：不能用 ON DATABASE，否则影响所有用户，风险极高；必须绑定到具体用户，例如 ON scott.SCHEMA。

实操要点：

触发器必须由 DBA 创建，且目标用户不能是 SYS、SYSTEM 或拥有 ADMINISTER DATABASE TRIGGER 权限的用户——这些账号会绕过触发器
sys_context('USERENV', 'IP_ADDRESS') 返回值在有 NAT、SLB、F5 或 Kubernetes Service 时不可靠，可能为空、为 127.0.0.1 或中间设备 IP
错误号必须在 -20001 到 -20999 范围内，RAISE_APPLICATION_ERROR(-20000, ...) 会编译失败
客户端看到的通常是模糊的 ORA-01017（用户名/密码错误），真实报错只写入告警日志，需查 alert.log 或用本地 sqlplus 验证

示例（限制用户 appuser 仅允许从 192.168.10.5 登录）：

CREATE OR REPLACE TRIGGER appuser_ip_restriction
AFTER LOGON ON appuser.SCHEMA
DECLARE
  v_ip VARCHAR2(30) := SYS_CONTEXT('USERENV', 'IP_ADDRESS');
BEGIN
  IF v_ip != '192.168.10.5' THEN
    RAISE_APPLICATION_ERROR(-20001, 'Access denied: IP ' || v_ip || ' not allowed for appuser');
  END IF;
END;