Oracle触发器无法自动将HK模式新表加入审计策略问题排查

以下是可能遗漏的关键步骤及修复建议：

1. 触发器作用域错误，未使用数据库级触发器 #

如果你的CHECK_HK_TABLES_FOR_AUDIT触发器是SCHEMA级触发器（如AFTER CREATE ON SYSTEM.SCHEMA），它只能捕获SYSTEM用户在自身模式下创建的对象，无法捕获：

• HK用户在自身模式创建的表
• SYSTEM或其他用户在HK模式创建的表

修复：重新创建数据库级触发器，覆盖所有模式的表创建事件：

CREATE OR REPLACE TRIGGER SYSTEM.CHECK_HK_TABLES_FOR_AUDIT
AFTER CREATE ON DATABASE
DECLARE
BEGIN
  IF ORA_DICT_OBJ_TYPE = 'TABLE' AND ORA_DICT_OBJ_OWNER = 'HK' THEN
    EXECUTE IMMEDIATE 'ALTER AUDIT POLICY changes_on_hk ADD TABLE ' || ORA_DICT_OBJ_OWNER || '.' || ORA_DICT_OBJ_NAME;
  END IF;
END;
/

2. 触发器未正确过滤对象类型与所属模式 #

如果触发器逻辑中没有明确判断ORA_DICT_OBJ_TYPE = 'TABLE'和ORA_DICT_OBJ_OWNER = 'HK'，会导致触发逻辑不生效，或者错误处理其他对象（如视图、索引）。

验证：检查触发器代码是否包含上述条件判断，确保仅对HK模式下的表执行审计策略添加操作。

3. 触发器所有者缺少必要权限 #

SYSTEM用户需要具备修改审计策略的权限才能执行ALTER AUDIT POLICY语句，若权限不足，触发器执行会静默失败（默认触发器异常不抛出提示）。

修复：确保SYSTEM用户拥有ALTER ANY AUDIT POLICY或AUDIT ADMIN权限：

GRANT ALTER ANY AUDIT POLICY TO SYSTEM;

4. 触发器未启用 #

若触发器创建后被意外禁用，将无法触发任何逻辑。

验证并修复：检查触发器状态并启用：

SELECT STATUS FROM DBA_TRIGGERS WHERE TRIGGER_NAME = 'CHECK_HK_TABLES_FOR_AUDIT' AND OWNER = 'SYSTEM';

ALTER TRIGGER SYSTEM.CHECK_HK_TABLES_FOR_AUDIT ENABLE;

5. 未使用动态SQL执行审计策略修改 #

如果触发器中直接硬编码表名，而非使用EXECUTE IMMEDIATE调用动态SQL，将无法动态关联新创建的表名。

验证：确保触发器中使用动态SQL拼接表名并执行ALTER AUDIT POLICY（如步骤1中的示例代码）。

6. 未处理触发器执行异常 #

默认情况下，触发器执行失败不会抛出错误，导致你无法察觉问题。建议添加异常处理，记录错误信息以便排查：

CREATE OR REPLACE TRIGGER SYSTEM.CHECK_HK_TABLES_FOR_AUDIT
AFTER CREATE ON DATABASE
DECLARE
  v_error_msg VARCHAR2(4000);
BEGIN
  IF ORA_DICT_OBJ_TYPE = 'TABLE' AND ORA_DICT_OBJ_OWNER = 'HK' THEN
    EXECUTE IMMEDIATE 'ALTER AUDIT POLICY changes_on_hk ADD TABLE ' || ORA_DICT_OBJ_OWNER || '.' || ORA_DICT_OBJ_NAME;
  END IF;
EXCEPTION
  WHEN OTHERS THEN
    v_error_msg := 'Error adding table ' || ORA_DICT_OBJ_OWNER || '.' || ORA_DICT_OBJ_NAME || ' to audit policy: ' || SQLERRM;
    -- 可将错误写入日志表，需提前创建日志表
    -- INSERT INTO SYSTEM.AUDIT_TRIGGER_LOG (ERROR_MSG, CREATED_DATE) VALUES (v_error_msg, SYSDATE);
    RAISE; -- 可选：抛出错误以便即时发现问题
END;
/

内容的提问来源于stack exchange，提问作者gurbelunder