SQL Server 2008中的代码安全（二） DDL触发器与登录触发器

Title: SQL Server 2008中的代码安全（二） DDL触发器与登录触发器

概述

在SQL Server 2008中，为了进一步提高数据库安全性，可以使用DDL触发器和登录触发器来进行代码安全管理操作。DDL触发器可以在某些DDL语句执行时自动触发，以便在执行前或执行后进行附加操作；登录触发器可以在用户登录时自动触发，以便执行有关用户身份验证的操作。

DDL触发器

创建DDL触发器

CREATE TRIGGER [trigger_name]
ON ALL SERVER
FOR [event type]
AS [trigger action script]

trigger_name：触发器名称
event type：触发事件类型，如CREATE_TABLE、ALTER_TABLE、DROP_TABLE等
trigger action script：触发器操作脚本，用于定义触发器的操作

示例1：禁止删除表

CREATE TRIGGER [delete_table_trigger]
ON ALL SERVER 
FOR DROP_TABLE
AS
BEGIN
    RAISERROR('禁止删除表',16,1)
    ROLLBACK
END

该触发器定义在所有服务器上，对DROP_TABLE事件进行了监控。当删除表时，将产生一个错误信息并进行回滚操作，从而禁止删除表。

示例2：记录表的操作历史

CREATE TABLE [dbo].[Table_Operation_Record](
    [Operation_ID] [int] IDENTITY(1,1) NOT NULL, 
    [Operation_Time] [datetime] NOT NULL, 
    [Operator] [nvarchar](50) NOT NULL, 
    [Operation_Object] [nvarchar](50) NOT NULL, 
    [Operation] [nvarchar](50) NOT NULL, 
    [Operation_Detail] [nvarchar](max) NULL, 
 CONSTRAINT [PK_Table_Operation_Record] PRIMARY KEY CLUSTERED 
(
    [Operation_ID] ASC
)
)

创建一个记录表的操作历史的表，包含属性：Operation_Time，Operator，Operation_Object，Operation，Operation_Detail，其中Operation_Detail属性用于记录详细的操作信息。

CREATE TRIGGER [table_operation_trigger]
ON ALL SERVER
FOR CREATE_TABLE, ALTER_TABLE, DROP_TABLE
AS
BEGIN
    DECLARE @TableName nvarchar(50)
    SET @TableName = EVENTDATA().value('(/EVENT_INSTANCE/ObjectName)[1]', 'NVARCHAR(MAX)')

    DECLARE @EventHandler sql_variant 
    SET @EventHandler = EVENTDATA().value('(/EVENT_INSTANCE/TSQLCommand)[1]', 'nvarchar(max)')

    DECLARE @Operation nvarchar(20)
    SET @Operation = EVENTDATA().value('(/EVENT_INSTANCE/EventType)[1]', 'nvarchar(max)') 

    INSERT INTO dbo.Table_Operation_Record(Operation_Time, Operator, Operation_Object, Operation_Detail, Operation)
    VALUES(GETDATE(), CURRENT_USER, @TableName, @EventHandler, @Operation)
END

该触发器定义在所有服务器上，对CREATE_TABLE、ALTER_TABLE、DROP_TABLE事件进行了监控。在每次触发时，将触发事件的对象（即表名）、事件类型、以及当前用户操作相关的信息记录到“Table_Operation_Record”表中，从而记录表的操作历史。

登录触发器

创建登录触发器

CREATE TRIGGER [trigger_name] 
ON ALL SERVER 
FOR LOGON 
AS [trigger action script]

trigger_name：触发器名称
trigger action script：触发器操作脚本，用于定义触发器的操作

示例：禁止某个用户登录

CREATE TRIGGER [login_trigger]
ON ALL SERVER 
FOR LOGON
AS
BEGIN
    IF ORIGINAL_LOGIN() = 'forbidden_user'
    BEGIN
        RAISERROR('该用户无法登录',16,1)
        ROLLBACK
    END
END

该触发器定义在所有服务器上，对LOGON事件进行了监控，并检查登录用户是否是“forbidden_user”，如果是，则产生一个错误信息并进行回滚操作，即禁止该用户登录。