在SQL Server的日常运维和开发场景中，敏感字段的修改操作需要被完整记录，以便后续出现数据问题时可以快速定位操作人。通过触发器结合登录名获取功能，就能实现自动化的修改追踪，不需要额外在业务代码中手动插入审计记录。
核心需求与实现思路
我们要实现的目标是：当某张表的敏感字段被更新时，自动将操作人登录名、修改时间、修改前后的字段值记录到审计表中。整个实现分为三个部分：
- 创建用于存储审计记录的审计表
- 编写表上的UPDATE触发器，在触发器中获取当前登录名并插入审计数据
- 验证触发器的实际运行效果
SQL Server中获取登录名的常用函数
在触发器里获取登录名，常用的有三个函数，它们的适用场景有区别：
| 函数名 | 返回内容 | 适用场景 |
|---|---|---|
| SUSER_SNAME() | 当前登录的SQL Server登录名 | 需要记录登录实例的账号时使用 |
| USER_NAME() | 当前数据库的用户名 | 仅需要记录数据库用户时使用 |
| ORIGINAL_LOGIN() | 连接到SQL Server实例的原始登录名 | 存在登录上下文切换时使用，能拿到最初始的登录账号 |
如果我们需要追踪最真实的修改人，优先选择ORIGINAL_LOGIN()或者SUSER_SNAME()，避免因为权限切换导致记录的用户不准确。
完整实现示例
1. 创建测试表和审计表
首先创建一张包含敏感字段的用户表，以及对应的审计表：
-- 创建测试用户表，假设phone是敏感字段
CREATE TABLE UserInfo (
UserId INT PRIMARY KEY IDENTITY(1,1),
UserName NVARCHAR(50),
Phone NVARCHAR(20),
CreateTime DATETIME DEFAULT GETDATE()
)
GO
-- 创建敏感字段修改审计表
CREATE TABLE PhoneChangeAudit (
AuditId INT PRIMARY KEY IDENTITY(1,1),
UserId INT,
OldPhone NVARCHAR(20),
NewPhone NVARCHAR(20),
ModifyLoginName NVARCHAR(100),
ModifyTime DATETIME DEFAULT GETDATE()
)
GO
2. 编写UPDATE触发器
在UserInfo表上创建UPDATE触发器，当Phone字段被修改时触发，记录相关信息：
CREATE TRIGGER TR_UserInfo_PhoneChange
ON UserInfo
AFTER UPDATE
AS
BEGIN
-- 如果修改的不是Phone字段，直接返回
IF NOT UPDATE(Phone)
RETURN
-- 插入审计记录，获取原始登录名作为操作人
INSERT INTO PhoneChangeAudit (UserId, OldPhone, NewPhone, ModifyLoginName)
SELECT
d.UserId,
d.Phone AS OldPhone,
i.Phone AS NewPhone,
ORIGINAL_LOGIN() AS ModifyLoginName
FROM deleted d
INNER JOIN inserted i ON d.UserId = i.UserId
END
GO
这里用到了触发器内置的两个临时表：deleted存储修改前的数据，inserted存储修改后的数据，通过UserId关联就能拿到字段修改前后的值。
3. 测试触发器效果
先插入一条测试数据，再修改敏感字段，查看审计表是否生成记录：
-- 插入测试数据
INSERT INTO UserInfo (UserName, Phone) VALUES ('张三', '13800000000')
GO
-- 修改敏感字段Phone
UPDATE UserInfo SET Phone = '13900000000' WHERE UserName = '张三'
GO
-- 查看审计记录
SELECT * FROM PhoneChangeAudit
GO
执行上述语句后，PhoneChangeAudit表中会出现一条记录，包含修改前后的手机号，以及执行修改操作的SQL Server登录名，说明触发器已经正常工作。
注意事项
- 触发器会增加数据修改的开销，如果表的数据修改非常频繁，需要评估性能影响，必要时可以异步处理审计记录
- 如果数据库开启了镜像、复制等功能，需要确认触发器的逻辑不会和这些功能冲突
- 审计表需要定期清理或者归档，避免数据量过大影响查询性能
- 如果需要追踪删除、插入操作，可以修改触发器的触发类型，同时调整审计表的结构适配不同的操作类型
注意：如果使用的是SQL Server的Windows身份验证登录，ORIGINAL_LOGIN()返回的是Windows域名加账号的格式，比如DOMAINusername，也能准确标识操作人。
SQL_Server触发器登录名敏感字段追踪数据审计修改时间：2026-07-08 02:57:22