Oracle数据库能否追踪使用同一schema密码登录的不同用户？

你的需求完全可以实现，Oracle原生提供了多层级的能力满足共享Schema的登录溯源、密码管控要求，按落地优先级从高到低整理如下：

1. 最优方案：代理认证（Proxy Authentication），从根源消除密码共享风险 #

这是Oracle官方推荐的共享Schema访问方案，完全不需要把共享Schema的密码告知开发人员，从机制上解决密码扩散、登录溯源难的问题：

• 开发人员全程使用自己的个人域账号/工号登录数据库，仅在需要操作目标Schema时，通过代理权限切换到对应Schema下，所有登录、操作记录天然绑定个人账号，不需要额外做任何标识配置。
• 配置命令示例：

-- 允许个人账号X、Y、Z代理登录SCHEMA_A，全程不需要知晓SCHEMA_A的密码
ALTER USER SCHEMA_A GRANT CONNECT THROUGH X,Y,Z;
-- 可按需限制代理登录后可用的角色，避免权限溢出
ALTER USER SCHEMA_A GRANT CONNECT THROUGH X WITH ROLE SCHEMA_A_FULL_ACCESS;

• 开发侧使用也很简单：SQLPlus可直接通过 CONNECT X[SCHEMA_A]/你的个人密码@库服务名 登录；JDBC/ODBC等驱动只需在连接参数中添加代理用户配置即可，不需要修改业务代码。
• 该方案下员工离职只需禁用/删除个人账号即可，完全不需要修改共享Schema密码，不会对其他正常使用的用户造成任何影响；所有登录记录直接查询DBA_PROXY_USERS、统一审计视图即可关联到真实个人账号，不存在篡改、抵赖空间。

2. 轻量溯源方案：CLIENT_IDENTIFIER+登录触发器+审计 #

如果短期内无法推动代理认证改造，可以用客户端标识符配合强制登录校验实现溯源：

• 核心逻辑是要求所有直连共享Schema的连接，必须在登录后第一时间通过DBMS_SESSION.SET_IDENTIFIER('个人工号')设置自己的真实身份，通过数据库级登录触发器强制校验，未设置合法身份的连接直接拒绝。
• 触发器示例：

-- 提前创建审计表存储登录记录
CREATE TABLE SYS.SHARED_SCHEMA_LOGIN_AUDIT(
  SCHEMA_NAME VARCHAR2(30),
  REAL_USER_ID VARCHAR2(64),
  LOGIN_TIME DATE,
  IP_ADDR VARCHAR2(50),
  CLIENT_HOST VARCHAR2(100),
  CLIENT_PROGRAM VARCHAR2(200)
);

CREATE OR REPLACE TRIGGER SYS.TRIG_CHECK_SHARED_SCHEMA_LOGIN
AFTER LOGON ON DATABASE
DECLARE
  v_session_user VARCHAR2(30);
  v_real_id VARCHAR2(64);
BEGIN
  v_session_user := SYS_CONTEXT('USERENV','SESSION_USER');
  -- 配置需要管控的共享Schema列表
  IF v_session_user IN ('SCHEMA_A','SCHEMA_B','SCHEMA_C') THEN
    v_real_id := SYS_CONTEXT('USERENV','CLIENT_IDENTIFIER');
    -- 未设置真实身份直接断开连接
    IF v_real_id IS NULL OR TRIM(v_real_id) IS NULL THEN
      RAISE_APPLICATION_ERROR(-20001,'直连共享Schema必须先设置个人工号作为客户端标识，连接被拒绝');
    END IF;
    -- 写入审计记录
    INSERT INTO SYS.SHARED_SCHEMA_LOGIN_AUDIT
    VALUES(v_session_user,
           v_real_id,
           SYSDATE,
           SYS_CONTEXT('USERENV','IP_ADDRESS'),
           SYS_CONTEXT('USERENV','HOST'),
           SYS_CONTEXT('USERENV','PROGRAM'));
    COMMIT;
  END IF;
END;
/

• 配套可以开启Oracle统一审计，把登录、操作日志写入只读的审计表空间，避免普通用户篡改审计记录，查询时关联UNIFIED_AUDIT_TRAIL视图的CLIENT_IDENTIFIER字段就能直接拿到登录人的真实工号、登录时间、客户端信息。

注意事项 #

• 不建议单独靠IP、主机名、客户端程序名识别登录人，这类信息可伪造，溯源可靠性差。
• 如果用CLIENT_IDENTIFIER方案，必须加登录触发器强制校验，避免用户故意填写他人工号伪造身份。
• 有等保、合规要求的场景，优先选代理认证+统一审计的组合，审计日志定期归档留存，满足离职审计、安全管控要求。

内容的提问来源于stack exchange，提问作者SeanGaff