MySQL触发器无法获取真实客户端IP，USER()、CURRENT_USER()等函数返回的是授权配置中的主机模式（如'app@10.20.%.%'），而非TCP连接的真实源地址；唯一可靠方式是应用层解析并传入client_ip字段供触发器使用。
MySQL触发器里根本拿不到真实客户端IP
直接说结论：USER()、CURRENT_USER()、SYSTEM_USER() 全部不可靠，它们返回的是授权配置里的主机模式（如 'app@10.20.%.%' 或 'admin@%'），不是 TCP 连接的真实源地址。只要经过代理、RDS Proxy、HAProxy、云数据库中间件，或者 MySQL 配置了 skip_name_resolve=OFF（默认开启 DNS 解析），HOST 部分就可能是域名、通配符甚至空字符串。
更关键的是：触发器执行时，INFORMATION_SCHEMA.PROCESSLIST 已不可信——该表可能被刷新、记录被复用，且普通用户在 MySQL 8.0+ 默认无权查询；所谓 AFTER CONNECT 触发器纯属杜撰，语法报错 ERROR 1064。
- 别尝试在触发器里写
SELECT HOST FROM INFORMATION_SCHEMA.PROCESSLIST WHERE ID = CONNECTION_ID()—— 锁表、慢、权限失败、结果错位 - 别依赖
SUBSTRING_INDEX(USER(), '@', -1)提取 IP —— 它可能返回localhost、mysql.example.com或%，毫无业务意义 - IPv6 地址会被
INET_ATON()截断或转成 0，MySQL 8.0+ 必须用INET6_ATON()，但前提是你有真实 IPv6 字符串可传
唯一可靠路径：应用层显式传入 client_ip 和 operator
真实 IP 和操作人只能由应用解析并作为字段写入。这不是妥协，是 MySQL 架构决定的刚性约束。
- 业务表必须新增字段，例如：
client_ip VARCHAR(45)（兼容 IPv4/IPv6）、operator_id VARCHAR(64) - 应用代码中解析
REMOTE_ADDR或可信链上的X-Forwarded-For（注意校验代理白名单），然后拼进 SQL：INSERT INTO orders (amount, client_ip, operator_id) VALUES (99.99, '2001:db8::1', 'u_789') - 触发器内直接引用：
NEW.client_ip、NEW.operator_id—— 它们就是你写进去的那个确定值，不会被 MySQL 替换或模糊化 - 为防绕过，开头加校验：
IF NEW.client_ip IS NULL OR NEW.client_ip = '' THEN SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = 'client_ip is required'; END IF;
会话变量方案看似方便，实则高危
用 SET @client_ip = 'x.x.x.x' 再在触发器读 @client_ip，短期能跑通，但连接池场景下极易出错。
- 连接复用时，上一个用户的
@client_ip可能残留，导致日志张冠李戴 - DBA 直连调试、脚本批量执行、mysqldump 导入等绕过应用层的操作，
@client_ip为空，兜底逻辑若没写严（比如漏了IFNULL(@client_ip, 'unknown')），整个日志表插入失败 - 触发器内禁止
SELECT @client_ip，只能直接写变量名，但变量未定义时值为NULL，不显式判断就会存空 - MySQL 不保证会话变量跨语句顺序，尤其在存储过程嵌套或 PRECEDES/AFTER 触发器混用时行为难预测
AFTER 触发器 + InnoDB 是审计日志的底线要求
哪怕字段传对了，日志落盘方式不对，审计就失效。
- 必须用
AFTER INSERT/UPDATE/DELETE——BEFORE下主表插入失败时，日志已写入，造成数据与日志不一致 - 日志表引擎必须是
InnoDB，否则事务回滚时日志还在，彻底失去原子性 - 禁止在触发器里查触发表本身（如
SELECT * FROM users WHERE id = NEW.id），MySQL 报ERROR 1442 - 所有字段必须显式列出，不能写
INSERT INTO log SELECT ...，避免列顺序变更导致错位 - 索引只建一个复合索引：
INDEX idx_table_action_time (table_name, action, created_at)，别给每个字段都加单列索引
最常被忽略的一点：所有非 SQL 层写入 —— LOAD DATA INFILE、mysqldump --no-create-info、中间件直连批量导入、MySQL Router 透传 —— 触发器全部静默，一概捕获不到。真要全覆盖审计，得结合 binlog 解析或代理层日志。
