SQL触发器是实现数据库操作日志审计最常用手段，需合理设计结构、规避性能与一致性风险，并可结合原生审计功能提升效率。
SQL 触发器是实现数据库操作日志审计最常用、最直接的手段之一，它能在 INSERT、UPDATE、DELETE 等操作发生时自动捕获上下文信息并写入审计表。关键在于设计合理、避免性能拖累、确保日志完整且可追溯。
触发器日志表结构设计要点
审计表不是越全越好，而是要兼顾可读性、查询效率与存储成本。建议包含以下核心字段：
- id：自增主键，便于分页和排序
- table_name：被操作的表名（如 'users'），方便统一归档分析
- operation_type：'INSERT' / 'UPDATE' / 'DELETE'，区分行为类型
- old_data 和 new_data：用 JSON 或 TEXT 类型记录变更前后的整行数据（MySQL 5.7+ 支持 JSON，SQL Server 可用 FOR JSON，PostgreSQL 原生支持 JSONB）
- operated_by：从 SESSION_USER、CURRENT_USER 或应用层传入的登录账号（避免只依赖 DATABASE_PRINCIPAL_ID）
- ip_address：通过 CONNECTIONPROPERTY('client_net_address')（SQL Server）或 USER() + 自定义函数提取（MySQL 可结合 performance_schema）获取客户端 IP
- created_at：使用 CURRENT_TIMESTAMP，不依赖应用时间，防止时钟偏差
避免触发器常见陷阱
触发器看似简单，但容易引发隐性问题：
- 批量操作（如 UPDATE users SET status=1 WHERE id IN (1,2,3,...1000)）会触发一次触发器，但
OLD/NEW在 MySQL 中仅返回单行——需改用 BEFORE/AFTER STATEMENT 触发器（MySQL 8.0+）或在触发器内联查原表补全数据 - 递归触发：更新审计表本身又触发另一个审计触发器 → 在触发器开头加
IF NOT EXISTS (SELECT 1 FROM sys.dm_exec_requests WHERE session_id = @@SPID AND command = 'EXECUTE')（SQL Server）或设置会话级标志位（如SET @audit_disabled = 1）临时禁用 - 事务一致性：触发器默认属于主事务，若审计表写入失败会导致整个业务操作回滚。生产环境建议将日志写入异步队列（如 Kafka）或采用“尽力而为”策略（如 SQL Server 的 TRY...CATCH 包裹日志逻辑）
- 权限问题：触发器以定义者权限执行，确保触发器所有者对审计表有 INSERT 权限，且不因跨 schema 引发权限拒绝
轻量级替代方案：开启数据库原生日志功能
并非所有场景都必须手写触发器。高并发系统可优先考虑原生审计能力：
-
MySQL：启用
general_log（仅调试）或更推荐audit_log插件（企业版/Percona Server），支持按用户、命令类型过滤，日志可输出为 JSON 文件或 Syslog -
PostgreSQL：配置
log_statement = 'mod'+log_line_prefix加入 %u（用户）、%h（IP）、%i（SQL ID），再配合pg_audit扩展精准跟踪 DML/DDL - SQL Server：使用 Server Audit + Database Audit Specification，可指定具体表、列、操作类型，并支持写入 Windows Event Log、文件或安全日志，性能开销远低于触发器
审计日志的实用查询技巧
日志写了不用等于没写。几个高频分析场景示例：
- 查某用户 24 小时内修改过哪些敏感字段：
SELECT table_name, operation_type, JSON_EXTRACT(new_data, '$.email') AS new_email,<br> JSON_EXTRACT(old_data, '$.email') AS old_email<br>FROM audit_log<br>WHERE operated_by = 'admin' AND created_at > NOW() - INTERVAL 1 DAY<br> AND (old_data LIKE '%email%' OR new_data LIKE '%email%');
- 定位异常删除行为：统计每小时 DELETE 数量突增的表
SELECT DATE_FORMAT(created_at, '%Y-%m-%d %H:00') AS hour_slot,<br> table_name, COUNT(*) AS del_count<br>FROM audit_log<br>WHERE operation_type = 'DELETE'<br>GROUP BY hour_slot, table_name<br>HAVING del_count > 50<br>ORDER BY hour_slot DESC;
- 还原某条记录的历史变更链：对同一主键（如 user_id=123）按时间排序，逐行比对
old_data/new_data差异，可用 Python 脚本解析 JSON 后生成变更摘要
触发器审计不是银弹，但搭配合理的结构设计、规避典型缺陷、善用原生能力，就能构建出稳定、低侵入、可落地的日志追踪体系。
