SQL审计日志体积过大，如何优化Access连接场景下的日志记录？

问题背景 #

我们有大规模的MS Access环境正在淘汰迁移，已将后端数据表切换到SQL Server，目标之一是审计组织内用户的表使用情况。当前审计监控所有SELECT语句时出现问题：每次SELECT执行会生成大量重复日志（比如返回1000条结果就产生1000条日志），原因是Access默认采用逐条获取结果的查询方式，从Profiler中可看到初始查询通过sp_prepexec预执行语句发起。

解决方案 #

1. 调整SQL Server审计/Profiler的过滤规则 #

• 捕获**RPC:Completed事件**而非SQL:BatchCompleted：Access通过sp_prepexec预编译查询，后续逐条获取结果属于预编译语句的RPC:Executed事件，而初始的预声明对应RPC:Completed事件。仅捕获该事件即可只记录一次查询发起，而非后续重复的执行操作。
• 添加精准过滤条件：在Profiler或SQL Server Audit中，通过TextData字段设置匹配规则，只保留包含exec sp_prepexec的记录，排除后续执行预编译语句的重复日志。

2. 修改Access的结果集获取行为 #

• 调整查询的记录集类型：在Access查询设计界面，将记录集类型从「动态集」或「动态集(不一致的更新)」改为「快照」。快照类型会一次性拉取所有结果，不会触发逐条获取的逻辑，SQL Server仅收到一次完整的SELECT请求，日志仅生成一条。
• 使用直通查询（Pass-Through）：将Access中的查询改为直通查询，这类查询会直接把SQL语句发送到SQL Server执行，返回完整结果集，避免逐条获取的行为，从根源减少重复日志。

3. SQL Server端优化 #

• 用Extended Events替代Profiler：Profiler性能开销较高，创建Extended Events会话可更精准过滤事件。只捕获rpc_completed事件，并通过条件匹配仅记录包含sp_prepexec的操作，示例代码如下：

CREATE EVENT SESSION [Access_Audit] ON SERVER 
ADD EVENT sqlserver.rpc_completed(
    ACTION(sqlserver.sql_text)
    WHERE (sqlserver.sql_text LIKE '%sp_prepexec%')
)
ADD TARGET package0.event_file(SET filename=N'Access_Audit.xel')
WITH (STARTUP_STATE=OFF)

内容的提问来源于stack exchange，提问作者Sarge75