必须用BEFORE LOGON ON DATABASE触发器才能真正拦截登录，因它在会话资源分配前执行；AFTER LOGON仅能事后补救，会引发ORA-00604且连接已建立。
为什么AFTER LOGON触发器里不能用RAISE_APPLICATION_ERROR拦截登录
因为会话资源在触发器执行前已分配完毕，RAISE_APPLICATION_ERROR只中断后续初始化，不终止连接本身。用户看到ORA-00604: error occurred at recursive sql level 1和自定义错误（如ORA-20001），但连接实际已建立——尤其在JDBC auto-reconnect或连接池场景下，应用可能继续复用这个“半死不活”的会话。
AFTER LOGON触发器中获取客户端IP的常见失败原因
SYS_CONTEXT('USERENV', 'IP_ADDRESS')返回NULL或127.0.0.1不是触发器写错了，而是网络架构导致Oracle收不到真实IP：
- 前端用了反向代理（如Nginx、Apache）且未透传
X-Forwarded-For - 负载均衡器（如F5、AWS ALB）未配置客户端IP透传
- 数据库连接池（如HikariCP、UCP）复用底层物理连接，
IP_ADDRESS反映的是池所在服务器地址 - 使用
sqlplus / as sysdba测试时，SYS用户默认绕过所有LOGON触发器
怎样让AFTER LOGON触发器真正记录会话信息而不报错
必须避开递归SQL和权限陷阱，否则会静默失效或报ORA-04082、ORA-06502、ORA-01031：
- 禁止使用
:NEW或:OLD——AFTER LOGON ON DATABASE无行上下文，写了就报ORA-04082并使触发器失效 - 审计表必须提前创建，且字段类型严格匹配：
client_ip建议用VARCHAR2(46)（兼容IPv6），别用VARCHAR2(15) - INSERT语句必须用触发器所有者的权限执行；若触发器属
SCOTT，需显式授权：GRANT INSERT ON audit_login_log TO SCOTT - 避免在触发器里调用含DML/DDL的PL/SQL函数，否则引发递归SQL，易触发
ORA-00604 - 用
SYS_CONTEXT('USERENV', 'SESSION_USER')取登录用户名，别用CURRENT_USER（它返回当前schema名）
真正想拦截非工作时间登录，该用BEFORE还是AFTER
必须用BEFORE LOGON ON DATABASE。它在身份验证通过后、会话资源分配前执行，此时拒绝可彻底阻止连接建立，不占内存、不消耗事务槽、不产生ORA-00604。而AFTER LOGON本质是“事后补救”，适合记录日志、设置会话参数（如ALTER SESSION SET optimizer_features_enable），不适合做访问控制。
