必须用数据库级DDL触发器拦截TRUNCATE_TABLE事件，因其不触发DML或DROP/ALTER触发器；需显式监听TRUNCATE_TABLE、强制CAST(EVENTDATA() AS XML).value解析、启用触发器并用TRY...CATCH包裹以防静默失效。
必须用数据库级DDL触发器拦截TRUNCATE_TABLE事件
TRUNCATE TABLE 不触发 DML 触发器（如 INSTEAD OF DELETE），也不走 DROP 或 ALTER 事件，它是一个独立的 DDL 事件类型，名称就是 TRUNCATE_TABLE。想拦住它，唯一可靠方式是创建数据库级 DDL 触发器，并显式检查该事件类型。
常见错误是只监听 DROP_TABLE 或 ALTER_TABLE，漏掉 TRUNCATE_TABLE 就等于留了个后门——用户执行 TRUNCATE TABLE orders 会直接成功，毫无阻拦。
触发器必须建在目标数据库上（不是 master），且作用域为 ON DATABASE：
CREATE TRIGGER tr_block_truncate ON DATABASE
FOR TRUNCATE_TABLE
AS
BEGIN
DECLARE @EventType sysname = EVENTDATA().value('(/EVENT_INSTANCE/EventType)[1]', 'sysname');
IF @EventType = 'TRUNCATE_TABLE'
BEGIN
RAISERROR('TRUNCATE TABLE is blocked', 16, 1);
ROLLBACK;
END
END;EVENTDATA() 解析必须用 CAST(... AS XML).value，不能用 OBJECT_NAME()
OBJECT_NAME() 在 DDL 触发器里不可靠：表可能已被删、尚未创建，或跨库操作时返回 NULL。真正能稳定提取对象名的是 EVENTDATA() 返回的 XML 内容。
正确写法是强制转成 XML 后用 .value() 提取节点：
- 表名：
CAST(EVENTDATA() AS XML).value('(/EVENT_INSTANCE/ObjectName)[1]', 'sysname') - Schema 名：
CAST(EVENTDATA() AS XML).value('(/EVENT_INSTANCE/SchemaName)[1]', 'sysname') - 数据库名：
CAST(EVENTDATA() AS XML).value('(/EVENT_INSTANCE/DatabaseName)[1]', 'sysname')
别拼错节点名，比如写成 Objectname 或 ObjName，SQL Server 不报错但永远匹配不上。
触发器默认禁用，启用命令不能少
SQL Server 创建 DDL 触发器后，默认 is_disabled = 1，相当于没生效。不手动启用，等于白写。
检查是否启用：
SELECT is_disabled FROM sys.triggers WHERE name = 'tr_block_truncate';
返回 1 就说明关着；启用命令是：
ENABLE TRIGGER tr_block_truncate ON DATABASE;
注意：服务器级触发器（ON ALL SERVER）不拦截用户库里的 TRUNCATE_TABLE，只响应 CREATE LOGIN 这类实例级操作，别建错位置。
必须用 TRY...CATCH 包裹解析逻辑
EVENTDATA() 返回的 XML 结构虽稳定，但 SQL Server 未来版本仍可能调整节点名（比如把 ObjectName 改成 TargetObjectName）。一旦解析失败，未捕获的异常会导致整个事务中断，连合法运维语句都卡住。
所以关键解析部分要包在 TRY...CATCH 里：
BEGIN TRY
DECLARE @ObjectName sysname = CAST(EVENTDATA() AS XML).value('(/EVENT_INSTANCE/ObjectName)[1]', 'sysname');
IF @ObjectName IN ('temp_orders', 'staging_log') RETURN; -- 白名单放行
RAISERROR('TRUNCATE blocked on %s', 16, 1, @ObjectName);
ROLLBACK;
END TRY
BEGIN CATCH
RAISERROR('Failed to parse EVENTDATA()', 16, 1);
ROLLBACK;
END CATCHRAISERROR 级别必须 ≥16，否则只是警告，语句照常执行；ROLLBACK 要显式写，不能依赖隐式回滚。
真正难搞的不是写触发器，而是确保它不因 XML 变更、权限缺失或上下文切换而静默失效——生产环境里，一个没包 TRY...CATCH 的 DDL 触发器，比没写还危险。
