Oracle中如何配置触发器捕获用户DML操作并写入自定义审计表？

错误原因 #

AUDSYS.UNIFIED_AUDIT_TRAIL 是Oracle的统一审计视图，并非物理基表。Oracle不允许在这类系统视图上创建FOR EACH ROW级别的触发器，因此触发ORA-25001错误。

解决方案 #

针对捕获指定Schema的DML操作并写入自定义审计表的需求，提供两种可行方案：

方案一：使用Schema级系统触发器（实时捕获） #

直接针对目标Schema创建触发器，拦截所有INSERT/UPDATE/DELETE操作，实时写入审计表。

CREATE OR REPLACE TRIGGER target_schema_dml_audit
AFTER INSERT OR UPDATE OR DELETE ON TARGET_SCHEMA -- 替换为你的目标Schema名称
FOR EACH ROW
DECLARE
  v_action VARCHAR2(10);
  v_table_name VARCHAR2(128);
  v_sql_text CLOB;
BEGIN
  -- 识别操作类型
  IF INSERTING THEN
    v_action := 'INSERT';
  ELSIF UPDATING THEN
    v_action := 'UPDATE';
  ELSIF DELETING THEN
    v_action := 'DELETE';
  END IF;

  -- 获取当前操作的表名
  v_table_name := SYS_CONTEXT('USERENV', 'OBJECT_NAME');
  
  -- 获取执行的SQL文本（可选，需权限）
  SELECT sql_fulltext INTO v_sql_text
  FROM v$sql
  WHERE sql_id = (SELECT sql_id FROM v$session WHERE sid = SYS_CONTEXT('USERENV', 'SID'));

  -- 写入自定义审计表
  INSERT INTO user_audit_log (
    audit_id, 
    audit_date, 
    os_username, 
    userhost, 
    dbusername, 
    action_name, 
    event_timestamp, 
    sql_text,
    table_name
  ) VALUES (
    audit_log_seq.NEXTVAL,
    SYSTIMESTAMP,
    SYS_CONTEXT('USERENV', 'OS_USER'),
    SYS_CONTEXT('USERENV', 'HOST'),
    SYS_CONTEXT('USERENV', 'SESSION_USER'),
    v_action,
    SYSTIMESTAMP,
    v_sql_text,
    v_table_name
  );

EXCEPTION
  WHEN OTHERS THEN
    -- 避免触发器异常中断业务操作，可选择性记录错误日志
    NULL;
END;
/

注意：

• 需将TARGET_SCHEMA替换为实际要监控的Schema名称
• 获取SQL文本需要用户有SELECT ON V$SQL和SELECT ON V$SESSION权限
• 若只需监控特定表，可将ON TARGET_SCHEMA改为ON TARGET_SCHEMA.TABLE_NAME

方案二：定时同步统一审计记录（低性能影响） #

绕过视图触发器限制，通过定时任务定期查询UNIFIED_AUDIT_TRAIL，将符合条件的记录同步到自定义审计表。

-- 创建定时同步任务
BEGIN
  DBMS_SCHEDULER.CREATE_JOB (
    job_name        => 'SYNC_AUDIT_TO_CUSTOM_TABLE',
    job_type        => 'PLSQL_BLOCK',
    job_action      => 'BEGIN
                          -- 仅同步未写入过的审计记录
                          INSERT INTO user_audit_log (
                            audit_id, audit_date, os_username, userhost, 
                            dbusername, action_name, event_timestamp, sql_text
                          )
                          SELECT 
                            audit_log_seq.NEXTVAL, SYSTIMESTAMP, os_username, userhost,
                            dbusername, action_name, event_timestamp, sql_text
                          FROM AUDSYS.UNIFIED_AUDIT_TRAIL
                          WHERE unified_audit_policies = ''FME_DML_PLAY''
                            AND event_timestamp > NVL(
                              (SELECT MAX(event_timestamp) FROM user_audit_log),
                              TO_DATE(''01-JAN-1970'', ''DD-MON-YYYY'')
                            );
                          COMMIT;
                        END;',
    start_date      => SYSTIMESTAMP,
    repeat_interval => 'FREQ=MINUTELY;INTERVAL=5', -- 每5分钟同步一次，可调整频率
    enabled         => TRUE,
    comments        => '同步统一审计策略FME_DML_PLAY的记录到自定义审计表'
  );
END;
/

优缺点对比：

• 实时触发器：延迟低，但对DML操作有轻微性能影响，需做好异常处理
• 定时同步：性能影响小，适合非实时监控场景，存在一定同步延迟

内容的提问来源于stack exchange，提问作者Raj24