应使用EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]', 'NVARCHAR(128)')获取真实客户端IP，HOST_NAME()因可伪造且常为空而不可靠；白名单需显式校验NULL并用LIKE匹配IP段，触发器须以sa身份创建，故障时依赖DAC修复。
不能只靠 HOST_NAME() 拦截主机连接，它在多数远程场景下返回空或不可靠值，直接用会放行大量非法连接。
为什么 HOST_NAME() 在登录触发器里基本失效
SQL Server 的 HOST_NAME() 函数返回的是客户端应用程序（比如 SSMS、.NET 连接字符串里指定的）主动传入的「工作站名」，不是真实网络来源。这个值可被任意伪造，例如用 Application Name=EvilBox;Workstation ID=ProdBox 就能绕过基于 HOST_NAME() 的白名单。
- 远程连接时，若客户端未显式设置
Workstation ID，HOST_NAME()通常返回空字符串或NULL - Windows 身份验证下，该值常为空；SQL 登录方式下也高度依赖驱动行为
- 所有主流 .NET、JDBC、ODBC 驱动都允许覆盖该字段，无任何校验机制
真正可用的客户端标识：从 EVENTDATA() 提取 ClientHost
登录触发器中唯一可信的网络标识来自 EVENTDATA() 的 XML 输出，其中 /EVENT_INSTANCE/ClientHost 是 SQL Server 实际解析出的客户端 IP 或主机名（取决于网络配置和协议）。
- IPv4 地址（如
'192.168.1.105'）最常见且稳定 - 启用 TCP/IP 且未禁用反向 DNS 查找时，可能返回主机名（但不推荐依赖，因 DNS 可被污染）
- 本地连接（
localhost、127.0.0.1、<local machine></local>）始终可被识别 - 必须用
EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]', 'NVARCHAR(128)')提取，类型必须是NVARCHAR，否则强制转换可能失败
写一个可靠白名单触发器的实操要点
以下是一个生产可用的模板，兼顾可读性与健壮性：
CREATE TRIGGER tr_AllowedHosts ON ALL SERVER
FOR LOGON
AS
BEGIN
DECLARE @client NVARCHAR(128) = EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]', 'NVARCHAR(128)');
<pre class='brush:php;toolbar:false;'>-- 允许本机 + 明确 IP 段（支持 CIDR 需自行解析，此处用 LIKE 粗略匹配）
IF @client NOT IN ('127.0.0.1', '<local machine>', '192.168.1.50', '10.24.15.15')
AND @client NOT LIKE '192.168.1.%'
AND @client IS NOT NULL
BEGIN
RAISERROR('Login rejected: client host not in whitelist.', 16, 1);
ROLLBACK;
ENDEND;
- 务必把
AND @client IS NOT NULL放在条件末尾，避免空值导致逻辑短路失效 - 不要用
NOT IN ('a','b',NULL)—— 含NULL的NOT IN永远返回UNKNOWN，触发器静默放过连接 - IP 段匹配用
LIKE是最快方案；真要 CIDR（如192.168.1.0/24），需写自定义函数解析，但会拖慢登录路径 - 触发器必须用
WITH EXECUTE AS 'sa'创建（如果非 sa 用户创建，后续登录可能因权限不足而失败）
触发器挂了连不上？DAC 是唯一救命通道
一旦触发器逻辑错误或策略过严，常规连接全部被拒，此时只能靠专用管理员连接（DAC）修复：
- 启动命令行，执行：
sqlcmd -A -S localhost（-A表示 DAC，localhost必须是实例名，非 IP） - DAC 默认只允许本地连接，且仅限
sysadmin成员 - 进 DAC 后立即执行：
DROP TRIGGER tr_AllowedHosts ON ALL SERVER，然后GO - 注意：SQL Server Express 不支持 DAC；命名实例需写全名，如
-S MyPC\SQLEXPRESS
真正难处理的永远不是怎么写，而是忘了 DAC 只在本地生效、忘了 EVENTDATA() 在某些网关后可能被替换为负载均衡器 IP、忘了 Windows 防火墙/NAT 设备会掩盖真实源地址 —— 这些才是上线前必须摸清的边界。
