SQL Server Audits配置问题：应用端操作未记录至GDPR合规审计日志

看起来你的问题核心在于应用程序使用的数据库账号不是dbo——这就是为什么你手动用SA或个人账号（大概率拥有dbo权限）操作目标表时审计日志正常记录，但应用代码执行的操作完全没触发审计的原因。

第一步：确认应用使用的数据库用户 #

首先要搞清楚你的应用到底用哪个账号连接SQL Server。你可以在应用执行的数据库上下文里运行以下查询，直接获取当前用户：

SELECT SYSTEM_USER AS [登录账号], USER_NAME() AS [数据库用户];

或者查看应用的连接字符串，里面应该明确写了连接用的账号。

第二步：修改数据库审计规范 #

你的现有审计规则里，所有操作都是BY [dbo]，这意味着只有dbo用户执行的操作才会被记录。要覆盖应用用户，有两种方案：

方案1：指定应用用户（精准审计）

如果应用用的是特定账号（比如app_worker），直接把这个账号添加到审计规则里：

USE [MY_DEV_DB]
GO
-- 先禁用现有审计规范
ALTER DATABASE AUDIT SPECIFICATION [GDPR_DEV_Audits] WITH (STATE = OFF)
GO
-- 添加应用用户的审计规则
ALTER DATABASE AUDIT SPECIFICATION [GDPR_DEV_Audits]
ADD (SELECT ON OBJECT::[dbo].[DevContent1] BY [app_worker]),
ADD (INSERT ON OBJECT::[dbo].[DevContent1] BY [app_worker]),
ADD (UPDATE ON OBJECT::[dbo].[DevContent1] BY [app_worker]),
ADD (DELETE ON OBJECT::[dbo].[DevContent1] BY [app_worker])
-- 其他表的规则同理，重复ADD语句添加app_worker的权限
GO
-- 重新启用审计规范
ALTER DATABASE AUDIT SPECIFICATION [GDPR_DEV_Audits] WITH (STATE = ON)
GO

方案2：审计所有用户（符合GDPR全量记录需求）

如果GDPR要求你记录所有用户对敏感数据的访问操作，直接把BY [dbo]改成BY [public]（public是所有数据库用户的默认角色）：

USE [MY_DEV_DB]
GO
ALTER DATABASE AUDIT SPECIFICATION [GDPR_DEV_Audits] WITH (STATE = OFF)
GO
-- 重新创建审计规则（或者逐个修改），这里用重新创建的方式更清晰
CREATE DATABASE AUDIT SPECIFICATION [GDPR_DEV_Audits]
FOR SERVER AUDIT [GDPR_PDATA_Audit]
ADD (DELETE ON OBJECT::[dbo].[DevContent1] BY [public]),
ADD (INSERT ON OBJECT::[dbo].[DevContent1] BY [public]),
ADD (SELECT ON OBJECT::[dbo].[DevContent1] BY [public]),
ADD (UPDATE ON OBJECT::[dbo].[DevContent1] BY [public]),
ADD (DELETE ON OBJECT::[dbo].[DevCustomer1] BY [public]),
ADD (INSERT ON OBJECT::[dbo].[DevCustomer1] BY [public]),
ADD (SELECT ON OBJECT::[dbo].[DevCustomer1] BY [public]),
ADD (UPDATE ON OBJECT::[dbo].[DevCustomer1] BY [public]),
ADD (DELETE ON OBJECT::[dbo].[DevQuotes] BY [public]),
ADD (INSERT ON OBJECT::[dbo].[DevQuotes] BY [public]),
ADD (SELECT ON OBJECT::[dbo].[DevQuotes] BY [public]),
ADD (UPDATE ON OBJECT::[dbo].[DevQuotes] BY [public]),
ADD (DELETE ON OBJECT::[dbo].[DevUsers] BY [public]),
ADD (INSERT ON OBJECT::[dbo].[DevUsers] BY [public]),
ADD (SELECT ON OBJECT::[dbo].[DevUsers] BY [public]),
ADD (UPDATE ON OBJECT::[dbo].[DevUsers] BY [public])
WITH (STATE = ON)
GO

第三步：验证审计效果 #

修改完成后，让应用执行一次查询，然后用以下语句检查审计日志是否记录了该操作：

SELECT 
    event_time,
    session_server_principal_name AS [登录账号],
    database_principal_name AS [数据库用户],
    object_name AS [操作表],
    action_id AS [操作类型] -- SELECT是SL, INSERT是IN, UPDATE是UP, DELETE是DL
FROM sys.fn_get_audit_file('\\你的审计文件路径\*.sqlaudit', DEFAULT, DEFAULT)
ORDER BY event_time DESC;

额外排查点 #

• 确认服务器审计本身是开启状态：

  SELECT name, status_desc FROM sys.server_audits;
  

  确保status_desc显示为ON。
• 如果应用用了连接池，无需担心，审计会记录实际执行操作的用户。
• 检查服务器审计是否设置了过滤条件，比如有没有排除某些用户或操作：

  SELECT name, audit_filter FROM sys.server_audits;
  

内容的提问来源于stack exchange，提问作者B3S