DDL触发器只能建在数据库或服务器级别，不能建在表上；必须用ON DATABASE或ON ALL SERVER指定作用域，配合EVENTDATA()和ORIGINAL_LOGIN()获取准确事件信息。
DDL触发器必须建在服务器或数据库级别，不能建在表上
很多人试图在某个用户表上创建 CREATE TRIGGER ... ON table_name FOR CREATE_TABLE，这会直接报错：The event 'CREATE_TABLE' is not supported with the specified syntax.。因为 DDL 事件（如 CREATE_TABLE、ALTER_LOGIN）作用域不在表级，而是在数据库或服务器实例级。建错位置会导致触发器根本不会被触发，日志表始终为空。
正确做法是明确指定作用域：
- 监控当前数据库内所有 DDL 操作 → 用
ON DATABASE - 监控整个 SQL Server 实例（含所有库、登录、端点等）→ 用
ON ALL SERVER，但需sysadmin权限
例如记录建表操作，必须这样写：
CREATE TRIGGER trg_CaptureCreateTable
ON DATABASE
FOR CREATE_TABLE
AS
BEGIN
INSERT INTO dbo.DdlLog (EventType, ObjectName, EventTime, LoginName)
SELECT
EVENTDATA().value('(/EVENT_INSTANCE/EventType)[1]', 'NVARCHAR(100)'),
EVENTDATA().value('(/EVENT_INSTANCE/ObjectName)[1]', 'NVARCHAR(128)'),
GETDATE(),
ORIGINAL_LOGIN();
END;EVENTDATA() 是唯一可靠的数据源，别信 CURRENT_USER 或 SUSER_NAME()
CURRENT_USER 返回的是执行上下文中的数据库用户名（比如 dbo），不是发起操作的人；SUSER_NAME() 在某些跨库或代理作业场景下可能返回 NULL 或错误值。真正稳定、带上下文的登录账户名，只有 ORIGINAL_LOGIN() —— 它取自连接建立时的认证凭据，不受 EXECUTE AS 或上下文切换影响。
EVENTDATA() 返回 XML，必须用 .value() 提取字段，常见易错点：
-
ObjectName字段在DROP_LOGIN事件中叫LoginName，但统一用(/EVENT_INSTANCE/ObjectName)[1]仍能取到——SQL Server 内部做了映射 -
PostTime比GETDATE()更准，它来自事务日志时间戳，避免因服务器时钟漂移导致日志时间错乱 - 提取失败会返回
NULL，建议加ISNULL(..., 'unknown')防止整行插入失败
日志表必须独立且禁用触发器自身递归
如果把日志表建在同一个数据库里，又没关掉递归，那么每次写日志都会再次触发 INSERT 相关的 DDL/DML 触发器（比如你同时监听了 CREATE_TABLE 和 INSERT），造成无限循环甚至死锁。最稳妥的做法是：
- 日志表放在专用审计库（如
audit_db），与业务库物理隔离 - 在触发器开头加
IF TRIGGER_NESTLEVEL() > 1 RETURN，防止嵌套触发 - 日志表结构尽量精简：至少包含
LogID（IDENTITY）、EventType、ObjectName、SchemaName（从EVENTDATA()提取）、PostTime、LoginName、TSQLCommand（可选，用EVENTDATA().value('(/EVENT_INSTANCE/TSQLCommand/CommandText)[1]', 'NVARCHAR(MAX)')）
注意：TSQLCommand 在加密存储过程或某些系统命令下可能为空，不能作为关键字段依赖。
ALTER_LOGIN 密码修改无法被精准识别，只能靠事件类型+上下文推断
SQL Server 不会在 EVENTDATA() 中标记“本次 ALTER_LOGIN 是否改了密码”。WITH PASSWORD 子句不会单独触发特定事件，它只是 ALTER_LOGIN 的一部分。所以你看到的日志里，sa 账号被反复修改，但无法区分哪次是改密码、哪次是开/关 CHECK_POLICY。
可行的缓解方式只有两个：
- 在应用层约定：所有密码修改操作统一走带注释的语句，例如
-- AUDIT: password reset，然后从TSQLCommand字段做字符串匹配（不绝对可靠，但比没有强） - 结合 Windows 事件日志或 SQL Server 审计功能（
SERVER AUDIT），开启AUTHENTICATION类型审计，它能捕获登录失败、密码策略变更等更底层信号
单靠 DDL 触发器，永远拿不到“新密码是什么”“旧密码是否过期”这类信息——SQL Server 根本不暴露这些内容，这是设计使然，不是技术限制。
