SQL Server登录触发器异常捕获失效问题求助

问题出在哪 #

登录触发器的执行逻辑和普通触发器不一样：登录过程中用户还没完成完整的身份验证，只要触发器里出现未处理的错误，SQL Server就会直接拒绝登录。你加了TRY CATCH但没生效，大概率是这两个原因：

• 你测试的SELECT 10/0虽然被捕获，但如果CATCH块里写SYS_ERROR_LOG表时出了问题（比如权限不够、表结构不对），又会抛出新错误，最终还是导致登录失败。
• 登录触发器默认的规则是：只要执行过程中有未处理的错误，就终止登录流程，哪怕你用了TRY CATCH，没处理好也没用。

修复后的完整触发器代码 #

下面是改好的LOG_TRG_02，保留了你原来的所有功能，还能正确处理错误：

CREATE OR ALTER TRIGGER LOG_TRG_02
ON ALL SERVER FOR LOGON
AS
BEGIN
    SET NOCOUNT ON;
    DECLARE 
        @LoginName NVARCHAR(128) = ORIGINAL_LOGIN(),
        @ErrorMessage NVARCHAR(4000),
        @ErrorSeverity INT,
        @ErrorState INT;

    BEGIN TRY
        -- 原有功能：给目标用户插入审计事件
        EXEC dbo.P_ACC_UNF_TRAIL @LoginName;

        -- 禁止OMEGACAEVDEV1登录
        IF @LoginName = N'OMEGACAEVDEV1'
        BEGIN
            RAISERROR('该账号已被禁止登录', 16, 1);
            ROLLBACK; -- 回滚登录事务，明确拒绝登录
        END
        -- 允许OMEGACAEVDEV2登录，直接返回即可
        ELSE IF @LoginName = N'OMEGACAEVDEV2'
        BEGIN
            RETURN;
        END
        -- 其他用户默认允许登录，无需额外操作
    END TRY
    BEGIN CATCH
        -- 捕获错误核心信息
        SELECT 
            @ErrorMessage = ERROR_MESSAGE(),
            @ErrorSeverity = ERROR_SEVERITY(),
            @ErrorState = ERROR_STATE();

        -- 嵌套TRY CATCH：避免写日志失败导致登录被拒
        BEGIN TRY
            INSERT INTO dbo.SYS_ERROR_LOG
            (
                LoginName,
                ErrorMessage,
                ErrorSeverity,
                ErrorState,
                OccurrenceTime
            )
            VALUES
            (
                @LoginName,
                @ErrorMessage,
                @ErrorSeverity,
                @ErrorState,
                GETDATE()
            );
        END TRY
        BEGIN CATCH
            -- 写日志失败则静默返回，不干扰登录流程
            RETURN;
        END CATCH

        -- 正常退出触发器，允许用户登录
        RETURN;
    END CATCH
END;
GO

几个关键修复点 #

• 嵌套TRY CATCH：外层处理业务逻辑（审计、登录控制），内层专门处理错误日志写入。就算写日志时出问题（比如表不存在、权限不足），内层CATCH会直接返回，不会影响用户登录。
• 明确的登录控制：禁止用户时用RAISERROR加ROLLBACK明确终止登录；允许用户直接RETURN，让触发器正常结束，不干扰登录流程。
• 权限保障：触发器的创建者（或通过EXECUTE AS OWNER指定的账号）必须拥有执行P_ACC_UNF_TRAIL的权限，以及往SYS_ERROR_LOG插入数据的权限，否则写日志操作会失败。
• 错误隔离：CATCH块捕获错误后直接RETURN退出，不把错误传递给SQL Server的登录流程，确保触发器出错时用户仍能正常登录。

验证方法 #

• 用OMEGACAEVDEV1登录：应被拒绝，且审计日志正常插入。
• 用OMEGACAEVDEV2登录：正常登录，审计日志插入成功。
• 故意触发业务错误（比如修改P_ACC_UNF_TRAIL使其报错）：用户能正常登录，错误信息会写入SYS_ERROR_LOG表。

内容的提问来源于stack exchange，提问作者altink