SQL Server 2022 不自带触发器修改历史记录功能，必须通过数据库级 DDL 触发器捕获 CREATE/ALTER/DROP TRIGGER 事件，并使用 EVENTDATA() 和 ORIGINAL_LOGIN() 记录关键审计信息。
SQL Server 2022 不自带触发器修改历史记录功能
SQL Server 本身不会自动记录谁、何时、用什么语句修改了某个触发器。sys.triggers 视图只存当前定义，modify_date 字段虽会更新，但无法区分是 DDL 修改、脚本重部署，还是 SSMS 点击“修改”后又点了“取消”。没有内置审计日志，靠查系统表或 DMV 是查不到修改人、原始 SQL 或执行上下文的。
必须用 DDL 触发器捕获 CREATE/ALTER/DROP TRIGGER 事件
唯一可靠的方式，是在数据库级别创建一个 AFTER CREATE_TRIGGER, ALTER_TRIGGER, DROP_TRIGGER 的 DDL 触发器，把每次操作的关键信息写入自定义日志表。注意不是在某张业务表上建触发器，而是在整个数据库上监听 DDL 事件。
-
EVENTDATA()函数返回 XML，需用.value()提取PostTime、LoginName、UserName、ObjectName、TSQLCommand等字段 - 务必用
ORIGINAL_LOGIN()取登录名，而不是CURRENT_USER或SUSER_SNAME()—— 后两者在EXECUTE AS或连接池场景下会失真 - 不要在 DDL 触发器里做耗时操作（如远程写日志、调用外部 API），否则可能阻塞所有 DDL 执行；写本地表 +
SET NOCOUNT ON是最安全的选择 - 示例关键片段：
DECLARE @data XML = EVENTDATA(); INSERT INTO ddl_audit_log (event_type, object_name, tsql_command, login_name, post_time) VALUES ( @data.value('(/EVENT_INSTANCE/EventType)[1]', 'NVARCHAR(100)'), @data.value('(/EVENT_INSTANCE/ObjectName)[1]', 'NVARCHAR(128)'), @data.value('(/EVENT_INSTANCE/TSQLCommand/CommandText)[1]', 'NVARCHAR(MAX)'), ORIGINAL_LOGIN(), @data.value('(/EVENT_INSTANCE/PostTime)[1]', 'DATETIME2') );
DDL 触发器自身不能被它自己记录
这是最容易忽略的盲区：你新建的 trg_audit_ddl 第一次创建时，这次 CREATE TRIGGER 操作不会被它自己捕获——因为触发器还没存在。后续的 ALTER 或 DROP 才会触发。所以首次部署后，应手动插入一条初始化记录，注明“DDL 审计启用时间”和部署人。
- 如果想追溯更早的修改（比如上线前的多次调试），只能靠备份中的
sys.sql_modules内容比对，或依赖源码管理工具（如 Git）中提交的 .sql 文件 -
sys.dm_exec_query_stats和sys.dm_exec_sql_text可能缓存过近期执行的 DDL 语句，但不可靠：不持久、受缓存淘汰影响、无登录名上下文 - 第三方工具（如 ApexSQL Audit、Idera SQL Compliance Manager）能补全这部分能力，但它们底层仍是靠轮询或扩展事件（XEvent）捕获，不是 SQL Server 原生行为
连接池和 EXECUTE AS 场景下，ORIGINAL_LOGIN() 是唯一可信字段
应用使用连接池（Pooling=true）时，多个用户请求复用同一物理连接，sys.dm_exec_sessions.login_name 显示的永远是第一个用户的登录名。而 ORIGINAL_LOGIN() 绑定的是每个逻辑连接建立时的认证凭据，不受池内复用干扰。
- 别在触发器里用
APP_NAME()做身份判断——它只是连接字符串里的Application Name参数，没设就是.Net SqlClient Data Provider，完全不可信 - 如果 DBA 用
EXECUTE AS USER = 'audit_admin'来部署触发器，SUSER_NAME()返回的是audit_admin，但ORIGINAL_LOGIN()仍返回 DBA 的真实域账号 - 审计日志表字段建议至少包含：
event_type、object_name、schema_name、tsql_command、original_login、post_time、host_name（可选，从EVENTDATA()提取）
