必须使用ON DATABASE级别触发器拦截登录，由SYS或具备ADMINISTER DATABASE TRIGGER权限用户创建；需用SYS_CONTEXT('USERENV', 'SESSION_USER')获取真实登录用户，大小写敏感，且须白名单兜底防锁死DBA。
触发器必须创建在数据库级别，不能建在模式下
很多人误以为 AFTER LOGON 触发器可以像普通 DML 触发器一样建在某个用户 schema 下，结果执行 CREATE TRIGGER 时直接报 ORA-01031: insufficient privileges 或提示“不支持此触发类型”。实际上，登录触发器属于系统级触发器，必须用具有 ADMINISTER DATABASE TRIGGER 权限的用户（通常是 SYS 或经显式授权的 DBA）来创建，且需指定 ON DATABASE。
常见错误写法：CREATE TRIGGER tr_block_user AFTER LOGON ON SCHEMA —— 这会语法报错，ON SCHEMA 不适用于 LOGON。
正确结构只有这一种：CREATE OR REPLACE TRIGGER tr_block_user AFTER LOGON ON DATABASE
判断当前登录用户要用 SYS_CONTEXT，别用 USER
USER 在触发器中返回的是触发器定义者（比如 SYS），不是正在登录的用户。真正要拦截的目标用户，得靠 SYS_CONTEXT('USERENV', 'SESSION_USER') 获取。
示例逻辑片段：
DECLARE
v_user VARCHAR2(30) := SYS_CONTEXT('USERENV', 'SESSION_USER');
BEGIN
IF v_user = 'TEST_USER' THEN
RAISE_APPLICATION_ERROR(-20001, 'Login denied for user TEST_USER');
END IF;
END;
注意点：
-
SYS_CONTEXT('USERENV', 'SESSION_USER')是唯一可靠方式；CURRENT_USER在 AUTHID DEFINER 触发器里也指向定义者 - 大小写敏感：数据库用户名默认大写，
'test_user'永远匹配不上，必须写'TEST_USER' - 若需匹配多个用户，用
IN或正则REGEXP_LIKE(v_user, '^USER_A$|^USER_B$')，避免硬编码一堆OR
触发器失效或被绕过？检查 ENABLE 状态和角色权限
创建完触发器默认是启用的，但可能被手动禁用：ALTER TRIGGER tr_block_user DISABLE。上线前务必确认状态：
SELECT trigger_name, status FROM dba_triggers WHERE trigger_name = 'TR_BLOCK_USER'; —— 结果必须是 ENABLED。
更隐蔽的问题是：如果目标用户拥有 EXEMPT ACCESS POLICY 或 ADMINISTER DATABASE TRIGGER 权限，触发器对其完全不生效。这类权限极少见，但一旦存在，RAISE_APPLICATION_ERROR 就像没写一样。
排查建议：
- 用被限制用户实际登录测试，不要只看
SELECT查询结果 - 检查该用户是否被授予了高危系统权限：
SELECT privilege FROM dba_sys_privs WHERE grantee = 'TEST_USER'; - 日志类调试可加
INSERT INTO log_table ... COMMIT;，但注意触发器里不能有COMMIT，需用自治事务封装
生产环境慎用，尤其别锁死 DBA 账户
最常发生的事故是：DBA 自己写完触发器测试完，顺手把 'SYS' 或 'SYSTEM' 加进拦截列表，然后登不进去了。没有其他 DBA 或操作系统级访问权限时，只能靠重启数据库到 MOUNT 状态再用 ALTER SYSTEM DISABLE TRIGGER 恢复。
安全实践：
- 触发器中加白名单兜底：
IF v_user NOT IN ('SYS', 'SYSTEM', 'DBA_BACKUP') AND v_user IN ('BANNED_USER1', 'BANNED_USER2') THEN ... - 首次部署先用
BEFORE LOGON+DBMS_OUTPUT.PUT_LINE（配合SET SERVEROUTPUT ON）观察行为，确认逻辑无误再切到AFTER并抛错 - 所有变更必须记录在运维文档，明确标注“影响登录流程”，避免交接遗漏
真正麻烦的从来不是写几行代码，而是权限链路太长、上下文太隐晦——一个字符大小写不对，或者一条权限漏查，就卡住整个恢复路径。
