SQL Server 服务器权限变更必须用 ON ALL SERVER DDL 触发器捕获，因数据库级触发器仅响应库内事件，无法感知服务器级操作；需在 master 库创建、启用对应事件组，并配合 SQL Server Audit 实现可靠审计。
SQL Server 本身不支持在服务器级别直接用 DML 或登录触发器捕获权限变更（如 GRANT/REVOKE SERVER ROLE、ALTER ANY DATABASE 等）——这类操作属于 DDL 范畴，必须用 DDL 触发器，且只能建在服务器级别（不是数据库级别）。
为什么不能用数据库级 DDL 触发器监控服务器权限变更
数据库级 DDL 触发器（ON DATABASE）只响应当前数据库内的事件，比如 GRANT SELECT ON dbo.Table1。但服务器权限变更（如 GRANT CONTROL SERVER TO [jane]、ALTER SERVER ROLE sysadmin ADD MEMBER [bob]）根本不会经过数据库上下文，数据库触发器完全收不到。
- 常见错误现象：
CREATE TRIGGER db_audit ON DATABASE FOR GRANT_DATABASE TO看似能捕获权限操作，但它对GRANT CONTROL SERVER无效，日志里查不到记录 - EVENTDATA() 在数据库级触发器中返回的 XML 里，
/EVENT_INSTANCE/ServerName字段为空，/EVENT_INSTANCE/DatabaseName是当前库名，和服务器权限无关 - 试图在数据库触发器里查
sys.server_permissions是徒劳的——它不在当前数据库 scope 内，所有权链断裂导致执行失败或静默跳过
必须用服务器级 DDL 触发器 + EVENTDATA() 解析
只有 ON ALL SERVER 触发器能捕获服务器级权限事件，例如 ADD_SERVER_ROLE_MEMBER、GRANT_SERVER、DENY_SERVER、REVOKE_SERVER。这些事件类型在 sys.trigger_event_types 中可查，但需注意：
- 不是所有权限语句都对应独立事件：比如
GRANT VIEW SERVER STATE触发的是GRANT_SERVER，而sp_addsrvrolemember触发的是ADD_SERVER_ROLE_MEMBER -
EVENTDATA()返回 XML，必须用 XQuery 提取关键字段：/EVENT_INSTANCE/EventType、/EVENT_INSTANCE/ServerPrincipalName、/EVENT_INSTANCE/TargetServerRole、/EVENT_INSTANCE/TSQLCommand - 触发器内不能直接 INSERT 到远程表或跨实例表；建议写入本地
master库中的审计表（如dbo.ServerPermissionLog），避免跨库权限问题 - 不要在触发器里做复杂 JOIN 或调用函数——服务器级 DDL 触发器阻塞后续所有权限操作，慢 = 业务卡死
实际部署时最容易被忽略的三个点
很多 DBA 测试时能抓到事件，上线后却失效，原因往往藏在这几个细节里：
-
CREATE TRIGGER必须在master数据库下执行，且当前登录用户需有CONTROL SERVER权限；用普通db_owner账号建会报错Cannot create a trigger on ALL SERVER - 触发器主体必须用
SET ANSI_NULLS ON和SET QUOTED_IDENTIFIER ON，否则在某些客户端（如旧版 SSMS 或某些 ORM 连接字符串）下创建成功但不生效 - 默认情况下，
GRANT/DENY操作不会触发GRANT_SERVER事件，除非显式启用了对应事件组——必须在触发器创建前确认服务器审计配置或使用SERVER AUDIT SPECIFICATION补充捕获（见下一条）
推荐组合：DDL 触发器 + SQL Server Audit 双保险
单靠 DDL 触发器有风险：若触发器自身出错（如插入审计表时空间满、约束冲突），整个权限操作会回滚并报错，影响运维；Audit 则是异步写入、失败不中断主流程。两者互补：
- DDL 触发器负责实时拦截高危操作（如
DROP LOGIN、ALTER SERVER ROLE ... ADD MEMBER），可加ROLLBACK阻断 - SQL Server Audit（
SERVER AUDIT SPECIFICATION）启用SERVER_PERMISSION_CHANGE_GROUP和SERVER_PRINCIPAL_CHANGE_GROUP，确保日志落盘不丢 - Audit 日志路径要独立于系统盘（如
F:\Audit\），并定期用sys.fn_get_audit_file()归档，避免占满磁盘导致 Audit 自动暂停 - 别依赖
SESSION_CONTEXT()传操作人——它在服务器级触发器中不可用；真正可信的来源只有EVENTDATA()中的ServerPrincipalName和LoginName
