NodeRed登录数据库遭Logon触发器拦截问题求助

• 检查EXECUTE AS身份的会话与权限稳定性
  服务器级登录触发器的EXECUTE AS指定身份如果是普通登录，要确认该账号是否存在连接数耗尽、默认数据库不可用等情况。建议改用EXECUTE AS OWNER（确保触发器所在服务器角色的所有者权限足够），或者指定一个专门用于审计的稳定登录账号，避免动态身份的上下文冲突。

• 给触发器添加错误捕获逻辑
  NodeRed的登录流程可能触发触发器执行异常，直接终止登录请求。在触发器中加入TRY...CATCH块，捕获错误并记录，同时确保上下文还原，避免登录被阻断：

  CREATE TRIGGER [LogonAuditTrigger] ON ALL SERVER FOR LOGON
  AS
  BEGIN
      SET NOCOUNT ON;
      BEGIN TRY
          EXECUTE AS LOGIN = 'YourAuditServiceAccount'; -- 替换为你的审计账号
          INSERT INTO [LogonAudit].[dbo].[LogonAuditing] 
          (LoginName, LoginTime, ClientIP)
          VALUES (
              ORIGINAL_LOGIN(),
              GETDATE(),
              ISNULL(EVENTDATA().value('(/EVENT_INSTANCE/ClientHost)[1]', 'nvarchar(128)'), 'Unknown')
          );
          REVERT;
      END TRY
      BEGIN CATCH
          -- 记录触发器错误，不终止登录
          INSERT INTO [LogonAudit].[dbo].[TriggerErrorLog] 
          (ErrorOccurredAt, ErrorDetails, AffectedLogin)
          VALUES (
              GETDATE(),
              ERROR_MESSAGE(),
              ORIGINAL_LOGIN()
          );
          IF EXISTS (SELECT 1 FROM sys.dm_exec_sessions WHERE session_id = @@SPID AND is_executing = 1)
              REVERT; -- 确保上下文还原
      END CATCH
  END;
  

• 适配非交互式登录的字段兼容性
  NodeRed可能采用非交互式登录，EVENTDATA()返回的ClientHost等字段可能为空。需确保LogonAuditing表的对应字段允许为空，或者在插入时用ISNULL()处理空值，避免插入失败导致触发器终止。

• 查看SQL Server系统错误日志
  虽然NodeRed无错误输出，但SQL Server的系统错误日志会记录登录失败的根源（比如触发器执行的错误代码、权限问题）。在SSMS中进入「管理 > SQL Server日志」，查找对应时间点的登录相关错误，这是定位问题的关键依据。

• 确保权限最小化与上下文正确还原
  给EXECUTE AS的登录仅分配LogonAuditing表的INSERT权限，避免多余权限引发的冲突。同时必须在触发器的TRY和CATCH块中都执行REVERT，确保会话上下文正确还原，防止后续会话继承错误身份。

内容的提问来源于stack exchange，提问作者Martin