单用户连接Oracle的Node.js TypeORM连接池事务审计实现方案咨询

方案1：使用Oracle会话标识符传递业务用户 #

• 每次Node.js从连接池获取连接后，先执行DBMS_SESSION.SET_IDENTIFIER存储当前登录的业务用户ID/账号，将业务用户和当前会话绑定
• 配置Oracle审计策略时，直接捕获CLIENT_IDENTIFIER字段作为操作人标识，不需要修改业务DML代码
• Node.js侧代码示例：

const oracledb = require('oracledb');
async function getConnectionWithBizUser(bizUserId) {
  const conn = await oracledb.getConnection({
    user: '公用连接账号',
    password: '对应密码',
    connectString: '数据库连接串'
  });
  // 绑定业务用户到当前会话
  await conn.execute(`BEGIN DBMS_SESSION.SET_IDENTIFIER(:bizUserId); END;`, [bizUserId]);
  return conn;
}

• Oracle原生审计日志会自动携带该字段，支持直接按业务用户检索全量操作记录。

方案2：应用层埋点结合行级触发器审计 #

• 所有需要审计的业务表增加操作人ID、操作时间、关联事务ID三个冗余字段
• Node.js执行DML操作时，强制传入当前业务用户ID作为参数写入对应字段
• 配置Oracle行级触发器，当表数据发生变更时，自动将操作内容、业务用户、事务信息写入独立的审计日志表，兜底避免业务代码漏传参数的问题
• 优势是审计数据和业务数据完全隔离，查询审计日志不需要访问Oracle系统视图，权限控制更灵活。

方案3：使用Oracle代理认证复用连接池 #

• 不需要为每个业务用户单独创建数据库连接权限，Oracle支持代理认证模式，允许公用连接账号代理其他业务用户执行操作
• 首先在Oracle侧给公用连接账号授予代理权限：ALTER USER 业务用户账号 GRANT CONNECT THROUGH 公用连接账号;
• Node.js侧获取连接时指定代理用户即可：

const conn = await oracledb.getConnection({
  user: '公用连接账号[业务用户账号]',
  password: '公用连接账号密码',
  connectString: '数据库连接串'
});

• 该模式下Oracle原生审计日志会自动记录实际的业务用户作为操作人，完全复用Oracle原生的用户权限控制、审计能力，不需要额外修改业务DML代码。

选型建议 #

• 业务用户量不大、需要完全复用Oracle原生权限和审计能力的场景，优先选代理认证方案
• 业务用户量极大、不想在Oracle侧创建大量用户账号的场景，优先选CLIENT_IDENTIFIER方案
• 需要自定义审计字段、对审计查询性能要求高的场景，选应用埋点+触发器方案

内容的提问来源于stack exchange，提问作者user2612963