仅靠sqlnet.ora无法实现“特定IP访问特定用户”的控制，因其在TCP握手阶段就拦截连接，不识别用户名；真正可行的是基于用户SCHEMA的登录触发器，但受NAT、RAC不一致及_system_trig_enabled参数禁用等限制。
仅靠 sqlnet.ora 无法实现“特定 ip 访问特定用户”的控制——它连用户名都还没看到，就已决定放行或拒绝整个连接。
sqlnet.ora 的 tcp.invited_nodes 只能按 IP 做全局放行/拦截
监听器在 TCP 握手阶段就执行 IP 检查，此时客户端尚未发送用户名和密码。tcp.invited_nodes 或 tcp.excluded_nodes 作用于网络连接层，不识别任何数据库用户。
- 配置
tcp.invited_nodes = (192.168.5.100)→ 该 IP 上所有用户（scott、hr、sys）都能连，其他 IP 全部被ORA-12537: TNS:connection closed拦截 - 漏加本机 IP（如
192.168.5.50）会导致监听启动失败，报TNS-12560；写localhost或127.0.0.1无效 - RAC 环境下必须同步修改所有节点的
$ORACLE_HOME/network/admin/sqlnet.ora，否则 SCAN 和本地监听行为不一致 -
lsnrctl reload在 RAC 中会清空服务注册、中断连接，禁止使用；必须用srvctl stop listener -n nodeX+start逐节点重启
真正可行的是 ON user.SCHEMA 登录触发器
这是唯一能校验「用户 + IP」组合的方案，但只在认证成功后触发，且对高权限用户无效。
- 触发器必须建在目标用户上，例如
ON scott.SCHEMA，而非ON DATABASE（后者影响全库，风险极高） - 获取 IP 用
SYS_CONTEXT('USERENV', 'IP_ADDRESS')，但在 NAT、F5、Kubernetes Service、SQL*Net 转发链路中会返回中间设备 IP 或空值，不可信 -
DBA、SYS、SYSTEM及拥有ADMINISTER DATABASE TRIGGER权限的用户会绕过触发器，错误仅写入告警日志，不阻断登录 -
RAISE_APPLICATION_ERROR错误号必须在-20001到-20999范围内；填-20000会编译失败
CREATE OR REPLACE TRIGGER scott_ip_restriction
AFTER LOGON ON scott.SCHEMA
DECLARE
v_ip VARCHAR2(30) := SYS_CONTEXT('USERENV','IP_ADDRESS');
BEGIN
IF v_ip IN ('192.168.5.100','192.168.5.101') THEN
RAISE_APPLICATION_ERROR(-20001,'Login denied for user SCOTT from '|| v_ip);
END IF;
END;
真实环境中最常被忽略的三点
第一，网络路径导致 IP 失真：只要链路中存在 SNAT/DNAT（比如云厂商 SLB、F5、K8s Ingress），SYS_CONTEXT('USERENV', 'IP_ADDRESS') 就不可靠，触发器形同虚设。
第二，RAC 下触发器行为不一致：不同实例间 session context 可能不同步，且 SCHEMA 级触发器只在当前实例生效，跨实例登录可能绕过。
第三，隐含参数 _system_trig_enabled 若被设为 FALSE，所有系统级触发器（包括登录触发器）将被禁用，且该参数无法动态修改，需重启实例。
