LOGON触发器无法限制IP段的写操作，因其仅在登录时触发并只能回滚连接；真正可行方案是应用层调用sp_set_session_context传入客户端IP，再结合行级安全（RLS）与SESSION_CONTEXT(N'ClientIP')实现IP段过滤。
LOGON 触发器不能限制写操作，只能拦截连接
想用触发器限制“IP段的写操作”，这个目标本身就有根本性误解。LOGON 触发器只在登录建立时运行，它能做的只有 ROLLBACK 连接请求，无法干预后续的 INSERT、UPDATE 或 DELETE。一旦连接成功，用户身份已确立，触发器就失去控制权了。
如果你真正想拦的是“来自 192.168.10.* 的用户执行 UPDATE 表A”，那必须换思路——这不是登录层的问题，而是会话级或语句级的访问控制问题。
DML 触发器无法获取客户端 IP，硬编码白名单也不可靠
INSTEAD OF 或 AFTER 类型的 DML 触发器（比如在 Orders 表上建 UPDATE 触发器）里，EVENTDATA() 不可用，sys.dm_exec_sessions 查不到当前语句的发起者 IP（因为会话已存在，且触发器运行在事务上下文中，查表可能引发死锁或权限错误）。
有人尝试在 DML 触发器里硬写 IF HOST_NAME() IN ('APP-SERVER-01', '192.168.10.5')，但 HOST_NAME() 返回的是服务器主机名，不是客户端 IP；ORIGINAL_LOGIN() 只返回登录名，不带网络上下文。
- IPv4 段匹配（如
'192.168.10.%'）必须靠sys.dm_exec_connections+sys.dm_exec_sessions关联查询，但这些 DMV 在 DML 触发器中不可靠，且无索引、高开销 - 哪怕强行 JOIN 查询，也会因缺少
WITH (NOLOCK)导致阻塞，甚至触发器自己被回滚 - 云环境（如 Azure SQL Managed Instance）中部分 DMV 权限受限，查询直接报错
真正可行的方案：用行级安全（RLS）+ CONTEXT_INFO 或应用层传递 IP
SQL Server 2022 支持 CREATE SECURITY POLICY，但 RLS 本身不识别 IP —— 它依赖谓词函数里的上下文值。所以得把客户端 IP 提前“带进来”：
✅ 推荐做法：应用连接时调用 sp_set_session_context 传入 IP
EXEC sp_set_session_context @key = N'ClientIP', @value = N'192.168.10.25';
✅ 再建谓词函数检查 IP 段：
CREATE FUNCTION dbo.fn_ip_in_subnet(@ip VARCHAR(15)) RETURNS TABLE AS RETURN SELECT 1 AS fn_result WHERE @ip LIKE '192.168.10.%' OR @ip = '127.0.0.1';
✅ 最后绑定策略到目标表：
CREATE SECURITY POLICY rls_policy ADD FILTER PREDICATE dbo.fn_ip_in_subnet(CONTEXT_INFO()) ON dbo.Orders;
- 注意：
CONTEXT_INFO()是二进制，需提前用CONVERT(VARCHAR(15), CONTEXT_INFO(), 2)转换，或改用SESSION_CONTEXT(N'ClientIP')（更清晰） - 应用必须每次连接都主动设置，否则策略默认放行（或拒绝，取决于谓词逻辑）
- 不能依赖
sys.dm_exec_connections动态查 IP，那是运行时开销大、权限难配、且不保证原子性的做法
为什么不用登录触发器 + 应用角色切换？
有人想：先用 LOGON 触发器允许连接，再让应用自动执行 EXECUTE AS USER = 'limited_user' 切换身份。这条路走不通：
-
EXECUTE AS切换后，ORIGINAL_LOGIN()仍返回原始登录名，但会话上下文已变，RLS 谓词函数里拿不到原始连接 IP - 若在登录触发器里根据 IP 设置不同角色（如
ALTER SERVER ROLE ... ADD MEMBER），SQL Server 不允许在LOGON触发器中修改服务器角色 - 试图用
sys.sp_addsrvrolemember会直接报错：“Changes to server role membership are not allowed in a logon trigger.”
真正的边界就在连接建立那一刻：要么在登录时拒之门外（LOGON 触发器），要么在数据访问时按上下文过滤（RLS + 显式传参）。中间没有“半路拦截写操作”的干净通道。
