必须用DML触发器配合CONNECTIONPROPERTY('client_net_address')实时获取客户端IP拦截，LOGIN触发器仅在连接时触发，无法约束后续UPDATE操作。
LOGIN触发器不能拦截UPDATE，得用DML触发器 + CONNECTIONPROPERTY
LOGIN触发器只在连接建立时触发，对后续的INSERT/UPDATE/DELETE毫无约束力。想拦住特定IP改关键表，必须用DML触发器，且得在触发器里实时获取客户端IP——EVENTDATA() 在 DML 触发器中不返回 ClientHost，得换方法。
SQL Server 2022 中最可靠的方式是调用 CONNECTIONPROPERTY('client_net_address')。它返回当前会话的真实客户端IP（含IPv6），不受代理或负载均衡干扰（只要中间没做TCP层NAT）。
- 该函数必须在触发器内直接调用，不能提前存到变量再判断——因为每个语句可能来自不同会话
- 如果应用走的是连接池（如 .NET 的 SqlConnection），
client_net_address返回的是应用服务器IP，不是终端用户IP；此时需靠应用层传入标识，触发器无法解决 - 注意：在本地SSMS连接时，该值可能是
::1（IPv6 localhost）或127.0.0.1，别写死成字符串比较
如何写一个只拦IP、不限制其他操作的AFTER UPDATE触发器
以保护 dbo.Users 表为例，禁止来自 192.168.5.100 和 203.0.113.8 的UPDATE操作，但允许SELECT、INSERT、DELETE，也允许其他IP正常UPDATE：
CREATE TRIGGER tr_block_update_from_bad_ips
ON dbo.Users
AFTER UPDATE
AS
BEGIN
DECLARE @ClientIP NVARCHAR(45);
SET @ClientIP = CONNECTIONPROPERTY('client_net_address');
IF @ClientIP IN ('192.168.5.100', '203.0.113.8')
BEGIN
ROLLBACK;
RAISERROR('拒绝来自 %s 的更新操作：该IP无权修改Users表', 16, 1, @ClientIP);
RETURN;
END
END;
- 用
AFTER UPDATE而非INSTEAD OF：前者已执行完原UPDATE逻辑，回滚能确保数据不变更；后者需手动重写UPDATE逻辑，极易出错 -
RAISERROR级别设为16（用户错误），避免被误判为严重系统错误 - 不检查
UPDATE()列名——因为目标是“任何字段更新都拦”，无需细化到列
为什么不能依赖ORIGINAL_LOGIN()或SUSER_SNAME()来过滤IP
ORIGINAL_LOGIN() 和 SUSER_SNAME() 返回的是登录名，不是网络位置。同一个SQL登录账号（比如 app_user）可能从几十个不同IP连进来，你无法从登录名反推IP。
常见误解是以为“限制了sa只能本机登录”就能顺带挡住所有非法UPDATE——其实完全无关。sa在远程连上来之后，照样能执行UPDATE，触发器看到的仍是那个远程IP，不是sa本身。
- 真正要控制的是“谁（IP）在什么上下文里做了什么（DML）”，不是“谁（登录名）连进来了”
- 若需绑定登录名+IP双重校验，得在触发器里同时查
ORIGINAL_LOGIN()和CONNECTIONPROPERTY('client_net_address')，但逻辑变重，且无法覆盖应用层复用连接池的场景 - SQL Server 没有类似MySQL的
host字段可预设白名单，所有IP判断必须运行时做
性能与部署注意事项
DML触发器对每条UPDATE都执行一次IP判断，开销极小（CONNECTIONPROPERTY 是轻量系统函数），但在高频更新的关键表上仍需实测。更隐蔽的风险在于：触发器一旦报错并回滚，整个事务失败，可能破坏应用层的错误处理逻辑。
- 上线前务必在测试环境用真实流量压测，确认不会因触发器导致连接堆积或超时
- 不要在触发器里查表（比如去
AllowedIPs表做JOIN）——这会引入锁竞争和死锁风险；白名单IP应硬编码或用配置表+缓存，而非每次触发都查 - 触发器禁用命令是
DISABLE TRIGGER tr_block_update_from_bad_ips ON dbo.Users，紧急情况下可用，但别长期禁用 - SQL Server 2022 支持
CREATE OR ALTER TRIGGER，修改时不用先DROP，降低误操作风险
最易被忽略的一点：防火墙或WAF层已经封掉的IP，根本连不到SQL Server，自然也不会触发这个DML触发器。所以它只是最后一道应用层兜底，不能替代网络层访问控制。
