sqlnet.ora的tcp.invited_nodes仅在TCP连接初期校验源IP，不识别用户名，无法实现“某用户仅限某IP”；该限制是全局网络层拦截，必须配合登录触发器（如AFTER LOGON ON username.SCHEMA）结合sys_context('USERENV','IP_ADDRESS')才能按用户+IP精准控制。
sqlnet.ora 的 tcp.invited_nodes 不管用户，只管连接层
它根本看不到用户名，所以无法实现“scott 只能从 192.168.5.100 登录”这种需求。配置 tcp.invited_nodes = (192.168.5.100) 后，所有用户（包括 hr、appuser、甚至 SYS）都只能从这个 IP 连接——这不是按用户控制，是全局 TCP 层拦截。
常见错误现象：
- 加了
tcp.invited_nodes却发现本机sqlplus / as sysdba失败 → 忘记把数据库服务器自身 IP 加进去，localhost和127.0.0.1无效，必须写真实网卡 IP - 重启监听时报
TNS-12560→ 很可能漏掉了 VIP、SCAN IP 或 RAC 中的某个节点地址 - 想限制“某用户 + 某 IP”，结果连
tnsping都不通 → 因为拦截发生在网络握手阶段，不是认证后
AFTER LOGON ON username.SCHEMA 是唯一可行路径
只有登录触发器能拿到用户名和 IP 的组合信息，但必须严格限定作用域：不能用 ON DATABASE，否则影响所有用户，风险极高；必须绑定到具体用户，例如 ON scott.SCHEMA。
实操要点：
- 触发器必须由 DBA 创建，且目标用户不能是
SYS、SYSTEM或拥有ADMINISTER DATABASE TRIGGER权限的用户——这些账号会绕过触发器 -
sys_context('USERENV', 'IP_ADDRESS')返回值在有 NAT、SLB、F5 或 Kubernetes Service 时不可靠，可能为空、为127.0.0.1或中间设备 IP - 错误号必须在
-20001到-20999范围内，RAISE_APPLICATION_ERROR(-20000, ...)会编译失败 - 客户端看到的通常是模糊的
ORA-01017（用户名/密码错误），真实报错只写入告警日志，需查alert.log或用本地sqlplus验证
示例（限制用户 appuser 仅允许从 192.168.10.5 登录）：
CREATE OR REPLACE TRIGGER appuser_ip_restriction
AFTER LOGON ON appuser.SCHEMA
DECLARE
v_ip VARCHAR2(30) := SYS_CONTEXT('USERENV', 'IP_ADDRESS');
BEGIN
IF v_ip != '192.168.10.5' THEN
RAISE_APPLICATION_ERROR(-20001, 'Access denied: IP ' || v_ip || ' not allowed for appuser');
END IF;
END;
IP 地址失真时怎么办
只要链路中存在 SNAT/DNAT（比如云厂商 SLB、F5、OpenShift Router、Oracle Cloud Load Balancer），sys_context('USERENV', 'IP_ADDRESS') 就不可信。此时触发器形同虚设，但你可能还误以为它生效了。
验证方法：
- 先执行
SELECT sys_context('USERENV', 'IP_ADDRESS') FROM dual;看返回值是否符合预期 - 若返回空或
127.0.0.1，说明网络路径重写了源 IP，应检查前端设备是否支持透传 X-Forwarded-For 或类似机制 - 可配合
sys_context('USERENV', 'NETWORK_PROTOCOL')辅助判断是否走的是 IPC（如本地连接）、TCP 或 SSL - 更稳妥的做法是在负载均衡层做 IP 白名单，数据库层只做兜底，而非唯一防线
网段匹配与日志记录要额外注意
用 LIKE 匹配网段（如 v_ip LIKE '192.168.5.%'）比枚举更实用，但要注意 IP 字符串格式：某些环境返回带端口的 192.168.5.100:54321，需先截断。
如果要在触发器里写日志表，必须声明 AUTONOMOUS_TRANSACTION，否则会报 ORA-04092；但写日志本身不阻断登录，真正拦截靠 RAISE_APPLICATION_ERROR。
最常被忽略的三点：
- 触发器对
SQL*Plus本地连接（IPC 协议）可能返回空 IP，测试务必用远程 TCP 连接 - RAC 环境下，不同实例间触发器不会同步，需在每个节点单独创建并验证
- 一旦触发器出错（比如语法错、表不存在），整个登录会失败并报 ORA-04098，而不仅是你的自定义错误
