PostgreSQL事件触发器用于审计DDL操作，通过创建日志表、编写触发函数并绑定到ddl_command_end或sql_drop事件，可记录结构变更；需注意其不捕获DML、可能受超级用户绕过及性能影响。
PostgreSQL 事件触发器（Event Trigger）是一种特殊类型的触发器，它不绑定在具体表上，而是响应数据库级别的 DDL（数据定义语言）事件，例如 CREATE、ALTER、DROP 等操作。这使得事件触发器非常适合用于审计数据库结构变更，实现对 PostgreSQL 事件触发体系的监控与记录。
事件触发器的基本原理
事件触发器由两部分组成：事件触发器函数和事件触发器本身。函数使用 PL/pgSQL 或其他过程语言编写，用于定义在特定事件发生时执行的操作；触发器则绑定到某一类事件上，如 ddl_command_start、ddl_command_end 或 sql_drop。
常见的事件包括：
- ddl_command_start：在每个 DDL 命令开始执行前触发
- ddl_command_end：在每个 DDL 命令成功执行后触发
- sql_drop：在对象被删除时触发，可获取将被删除的对象信息
这些事件让管理员可以精确掌握谁在何时执行了何种结构变更，是构建审计系统的核心工具。
使用事件触发器实现审计功能
要实现对 DDL 操作的审计，通常需要创建一个日志表来存储操作记录，并编写触发器函数将相关信息写入该表。
1. 创建审计日志表
CREATE TABLE ddl_audit_log (
id SERIAL PRIMARY KEY,
username TEXT,
command_tag TEXT,
object_type TEXT,
object_name TEXT,
event TEXT,
sql_command TEXT,
timestamp TIMESTAMP DEFAULT CURRENT_TIMESTAMP
);
2. 编写事件触发器函数
CREATE OR REPLACE FUNCTION log_ddl_events()
RETURNS event_trigger AS $$
DECLARE
obj record;
BEGIN
FOR obj IN SELECT * FROM pg_event_trigger_ddl_commands()
LOOP
INSERT INTO ddl_audit_log (
username, command_tag, object_type,
object_name, event, sql_command
) VALUES (
current_user,
obj.command_tag,
obj.object_type,
obj.object_identity,
'ddl_command_end',
current_query()
);
END LOOP;
END;
$$ LANGUAGE plpgsql;
这个函数通过调用 pg_event_trigger_ddl_commands() 获取当前 DDL 命令的详细信息，并插入到审计表中。
3. 创建事件触发器
我愿意把本文归入我的“编程糗事”系列。尽管在正规大学课程中，接触到软件工程、企业级软件架构和数据库设计，但我还是时不时地体会到下述事实带给我的“罪恶”感，当然，都是我的主观感受，并且面向Eclipse： 你是PHP菜鸟，如果你： 1. 不会利用如phpDoc这样的工具来恰当地注释你的代码 2. 对优秀的集成开发环境如Zend Studio或Eclipse PDT视而不见 3
CREATE EVENT TRIGGER audit_ddl ON ddl_command_end EXECUTE FUNCTION log_ddl_events();
这样，每次有 DDL 操作完成，就会自动记录到 ddl_audit_log 表中。
高级审计场景：捕获 DROP 操作
如果还需要记录被删除的对象（即使它们已不存在），可以结合 sql_drop 事件触发器使用。
示例：
CREATE OR REPLACE FUNCTION log_dropped_objects()
RETURNS event_trigger AS $$
DECLARE
obj record;
BEGIN
FOR obj IN SELECT * FROM pg_event_trigger_dropped_objects()
LOOP
INSERT INTO ddl_audit_log (
username, command_tag, object_type,
object_name, event
) VALUES (
current_user,
'DROP',
obj.object_type,
obj.object_identity,
'sql_drop'
);
END LOOP;
END;
$$ LANGUAGE plpgsql;
CREATE EVENT TRIGGER audit_drop ON sql_drop
EXECUTE FUNCTION log_dropped_objects();
该机制能确保即使对象已被删除，其删除行为仍可追溯。
注意事项与限制
使用事件触发器进行审计时需注意以下几点：
- 事件触发器无法捕获 DML 操作（如 INSERT、UPDATE、DELETE），需使用常规行级或语句级触发器进行 DML 审计
- 某些超级用户操作可能绕过触发器，需结合日志（log_statement = 'ddl'）进行补充
- 触发器函数运行在事务内部，若函数出错可能导致 DDL 失败，应确保其健壮性
- 避免在触发器函数中执行复杂逻辑或远程调用，以免影响数据库性能
合理配置后，PostgreSQL 的事件触发体系能提供强大而灵活的结构变更审计能力，帮助组织满足合规要求并提升数据库安全性。
基本上就这些。
