SQL Server 原生不支持 SELECT 字段级审计，因 DATABASE AUDIT SPECIFICATION 仅捕获表级访问，不解析字段；BATCH_COMPLETED_GROUP 日志仅含截断SQL文本，无AST或字段元数据；且不支持 SELECT 触发器，无法实时拦截敏感列访问。
SQL Server 原生不支持对 SELECT 操作做细粒度字段级审计——哪怕你只查了 salary 或 id_card，标准的数据库审计规范（DATABASE AUDIT SPECIFICATION）最多能记录“某人查了 Employees 表”，无法定位到具体字段，更无法拦截或打标敏感列访问。
为什么不能直接用 DATABASE AUDIT SPECIFICATION 审计 SELECT 字段
SQL Server 的审计系统基于扩展事件（Extended Events），而 SELECT 本身是语句级事件，SELECT ON Employees BY dbo 这类规则只能捕获表级访问，不解析字段列表。即使启用了 BATCH_COMPLETED_GROUP，日志里也只有完整 SQL 文本，需额外解析才能提取字段，且无实时阻断能力。
- 审计日志中
statement字段可能被截断（尤其带参数的 SP 执行） - 无法区分
SELECT name, email FROM Users和SELECT * FROM Users—— 后者实际读了敏感字段但审计项里看不出 -
sys.fn_get_audit_file()返回结果不含 AST 或字段元数据，字段识别必须靠字符串正则，误判率高
触发器无法用于 SELECT 审计（常见误解）
SQL Server 不允许在 SELECT 上创建 INSTEAD OF 或 AFTER 触发器——这是语法硬限制。CREATE TRIGGER ... ON table FOR SELECT 会直接报错：Incorrect syntax near the keyword 'SELECT'。所有声称“用触发器审计 SELECT”的方案，本质都是绕过触发器、改用其他机制。
- 试图在视图上建
INSTEAD OF SELECT？SQL Server 不支持INSTEAD OF SELECT，只支持INSERT/UPDATE/DELETE - 用 DDL 触发器监听
CREATE VIEW？无法覆盖 ad-hoc 查询、SSMS 直连、应用直查等主流场景 - 把业务查询全改成存储过程 + 在 SP 内部加日志？可行但改造成本高，且绕过 SP 的查询完全逃逸
真正可用的 SELECT 敏感字段审计路径
目前只有两条落地路径：一条靠 SQL Server 自身功能组合（推荐用于合规留痕），一条靠外围拦截（推荐用于实时告警或阻断）。
-
路径一（推荐留痕）：启用
SERVER AUDIT+BATCH_COMPLETED_GROUP，配合日志解析服务。将sys.fn_get_audit_file()输出接入 ELK 或自研解析器，用正则匹配SELECT.*salary|id_card|phone类模式，并关联session_id和server_principal_name。注意设置MAX_ROLLOVER_FILES = 10防止日志轮转丢失 -
路径二（推荐阻断）：使用 SQL Server 的“行级别安全（RLS）”+ “动态数据掩码（DDM）”组合。先用
CREATE SECURITY POLICY对敏感字段加策略函数，再在函数里写入审计逻辑（如调用sp_executesql插入日志表）。但注意：策略函数内不能有写操作，所以得用异步方式——比如发消息到 Service Broker 队列，由激活存储过程消费并落库 -
路径三（生产慎用）：开启
sqlserver.query_post_execution_showplan扩展事件会话，捕获实际执行计划中的输出列。虽能精确到字段，但开销极大，仅限短期排查，不可长期运行
容易被忽略的关键细节
字段级 SELECT 审计不是开个开关就能用的功能，它天然和性能、权限、部署形态强耦合。
- 审计日志路径（如
C:\AuditLogs\）必须由 SQL Server 服务账户有写权限，否则STATE = ON会静默失败 - 如果数据库启用了
CONTAINMENT = PARTIAL，服务器级审核对象可能无法捕获该数据库内的事件 - 在 Azure SQL 托管实例中，
BATCH_COMPLETED_GROUP默认不可用，需通过sys.dm_server_audit_status确认状态，且日志只能写入 Azure Blob 存储 - 所有审计日志表（无论是自建还是系统函数返回）都应按月分区并设置
READ_COMMITTED_SNAPSHOT = ON，否则高并发 SELECT 审计写入会引发大量锁等待
