SYS_CONTEXT('USERENV', 'IP_ADDRESS') 常为空，因负载均衡、代理或监听器配置导致真实客户端IP被剥离；应优先用AUDIT CONNECT配合DBA_AUDIT_SESSION.USERHOST，或在AFTER LOGON触发器中结合SESSIONID等字段增强可靠性。
触发器里用 SYS_CONTEXT 记录 IP 为什么常为空？
因为 sys_context('userenv', 'ip_address') 在多数 oracle 部署中返回空，尤其当数据库前端有负载均衡、代理或监听器配置了 use_dedicated_server=false。真实客户端 ip 往往被剥离，只留下中间节点地址（比如 127.0.0.1 或负载均衡内网 ip）。
实操建议：
- 先验证当前会话能否拿到真实 IP：
SELECT SYS_CONTEXT('USERENV', 'IP_ADDRESS') FROM DUAL;如果返回空或非预期地址，说明环境不支持直接取值 - 若使用 Oracle Net（tnsnames.ora），检查服务器端
sqlnet.ora是否设置了SQLNET.INVITED_NODES或启用了VALID_NODE_CHECKING，这些可能干扰上下文提取 - 更可靠的方式是结合
SYS_CONTEXT('USERENV', 'HOST')和审计视图V$SESSION中的MACHINE字段交叉比对，但注意HOST可能被客户端伪造
写 INSERT 触发器记录访问日志时，AFTER LOGON ON DATABASE 更合适
想审计“谁从哪连进来”，不是等某张表被查才记，而是连接建立那一刻就要捕获。用表级 INSERT 触发器完全跑偏——它只响应 DML，不感知登录行为。
实操建议：
- 创建系统级登录触发器：
CREATE OR REPLACE TRIGGER log_ip_on_logon<br>AFTER LOGON ON DATABASE<br>BEGIN<br> INSERT INTO audit_login_log (username, ip_addr, login_time)<br> VALUES (SYS_CONTEXT('USERENV','CURRENT_USER'),<br> SYS_CONTEXT('USERENV','IP_ADDRESS'),<br> SYSDATE);<br>END; - 必须用
AFTER LOGON，BEFORE LOGON里无法写入普通表（权限和事务状态受限） - 确保目标日志表
audit_login_log已存在，且触发器拥有INSERT权限；避免在触发器里调用复杂函数或远程 DBLink，否则登录可能失败
记录的 IP 地址在 RAC 环境下可能不一致
RAC 多实例场景中，用户连接的是 SCAN VIP，实际会话可能落在任意节点上。不同节点的 SYS_CONTEXT('USERENV', 'IP_ADDRESS') 返回值取决于该节点收到连接时的网络路径，同一用户两次登录可能记到不同 IP。
实操建议：
- 不要单独依赖
IP_ADDRESS做唯一标识，应组合CURRENT_USER+SESSIONID+LOGON_TIME构成逻辑主键 - 若需追溯真实来源，优先查
V$SESSION.CONNECT_TIME和V$SESSION.CLIENT_INFO（如果应用层主动设过），比触发器里硬取更准 - RAC 下启用
GLOBAL_NAMES=TRUE并配合DBMS_APPLICATION_INFO.SET_CLIENT_INFO，让应用在登录后立刻写入客户端标识，比等触发器更可控
AUDIT 命令和触发器记录 IP 的本质区别
AUDIT CONNECT 能记录登录事件，但它不保证包含 IP —— 默认只记用户名、时间、返回码；而触发器虽灵活，却绕过了 Oracle 审计框架，无法被 DBA_AUDIT_TRAIL 统一管理，也不受 AUDIT_TRAIL 参数控制。
实操建议：
- 生产环境优先用原生审计：
AUDIT CONNECT WHENEVER SUCCESSFUL;
再查DBA_AUDIT_SESSION，其中USERHOST字段有时比SYS_CONTEXT更稳定（尤其配合os_authent_prefix和操作系统级日志） - 触发器适合补漏：比如审计特定用户（
WHERE SYS_CONTEXT('USERENV','CURRENT_USER') = 'APP_USER'），或需要写入自定义字段（如项目 ID、渠道编码） - 两者都开启时，注意触发器执行开销——高并发登录下，频繁 INSERT 可能拖慢连接建立，建议日志表用
NOLOGGING+ 异步批量写（如 UTL_QUEUE）缓解
真正难的不是写触发器，是确认那个 IP_ADDRESS 到底代表什么：是 TCP 层看到的，还是代理转发头里的，还是被 Oracle 监听器重写的。没摸清链路，光记下来也没法追责。
