AFTER LOGON触发器无法限制登录，因其在会话已建立后才执行，抛异常仅终止触发器而非断开连接；真正可拦截登录的是12cR2+支持的BEFORE LOGON触发器。
为什么 AFTER LOGON 触发器不能直接做会话限制
因为 AFTER LOGON 触发器本身不支持中断登录流程——它在用户已成功认证、会话已建立后才执行，此时再抛异常（如 RAISE_APPLICATION_ERROR）只会终止触发器，不会断开连接。你看到的“限制失效”，根源就在这儿。
真正能拦截登录的只有 BEFORE LOGON（Oracle 12cR2+ 才支持），而老版本只能靠变通方案。
12cR2+ 正确写法：用 BEFORE LOGON + RAISE_APPLICATION_ERROR
必须确保数据库版本 ≥ 12.2，且触发器创建在 SYS 用户下（或具有 ADMINISTER DATABASE TRIGGER 权限）：
CREATE OR REPLACE TRIGGER limit_logon_trigger
BEFORE LOGON ON DATABASE
BEGIN
IF SYS_CONTEXT('USERENV', 'SESSION_USER') = 'BAD_USER'
AND SYS_CONTEXT('USERENV', 'HOST') NOT IN ('trusted-host1', 'trusted-host2') THEN
RAISE_APPLICATION_ERROR(-20001, 'Login denied: unauthorized host');
END IF;
END;
-
BEFORE LOGON是唯一能在认证完成前介入的时机 - 必须用
SYS_CONTEXT('USERENV', ...)获取上下文，USER或SESSION_USER函数在触发器中不可用 - 错误码需为 -20000 ~ -20999，否则 Oracle 拒绝编译
11g/12cR1 及更早版本的替代方案
只能退回到 AFTER LOGON，但需配合会话级资源控制或主动断连：
- 用
DBMS_SESSION.SET_IDENTIFIER标记可疑会话，再由后台作业定期查V$SESSION并ALTER SYSTEM KILL SESSION - 在触发器里调用
DBMS_SESSION.SLEEP(1)后立即RAISE_APPLICATION_ERROR，虽不能阻止登录，但能让客户端收到错误并断开（部分驱动会重试，需测试） - 更稳妥的是改用
RESOURCE_LIMIT = TRUE+PROFILE限制 CPU_PER_CALL、IDLE_TIME，让非法会话快速超时
例如限制某用户最多运行 1 秒 CPU 时间：ALTER PROFILE bad_user_prof LIMIT CPU_PER_CALL 100;
容易被忽略的权限与调试陷阱
即使语法正确，以下问题也会导致触发器静默失败：
- 触发器必须由
SYS创建，普通用户建的BEFORE LOGON不生效 - 若数据库启用了
SEC_CASE_SENSITIVE_LOGON=FALSE，注意用户名比较要用UPPER()或LOWER() - 调试时别依赖
DBMS_OUTPUT.PUT_LINE——BEFORE LOGON中它不输出；改用写表或UTL_FILE - 触发器中禁止调用自治事务以外的 DML，否则报
ORA-04092: cannot COMMIT in a trigger
最麻烦的是：一旦触发器有未捕获异常，整个登录流程可能卡死或返回模糊错误（如 ORA-1031），建议所有逻辑包在 BEGIN...EXCEPTION WHEN OTHERS THEN NULL; 里兜底，再逐步放开日志。
