触发器中不能直接查当前用户权限表，因默认以定义者权限运行；MySQL需SQL SECURITY INVOKER，PG默认调用者身份，SQL Server需ORIGINAL_LOGIN()；权限校验失败须用SIGNAL/RAISE EXCEPTION/THROW主动中止。
触发器里不能查当前用户权限表？先确认执行上下文
MySQL 和 PostgreSQL 的
触发器默认以定义者（DEFINER）权限运行，不是调用者（INVOKER）身份。这意味着：即使你写了
，查出来的也可能是触发器创建者的权限记录，而不是实际执行 SQL 的用户。
解决方法取决于数据库：
MySQL 8.0+：必须显式声明
，否则
返回的是 DEFINER 用户名；
PostgreSQL：触发器函数默认以调用者身份执行，
或
可靠，但要注意
函数会覆盖它；
SQL Server：触发器内无法直接获取发起请求的登录名，得靠
，且需确保未被
显式切换过上下文。
INSERT 触发器中如何阻断非法写入？用 SIGNAL 或 RAISE EXCEPTION
权限校验失败时不能只写日志，必须主动中止语句执行。不同数据库抛错方式差异大，错用会导致静默失败或报错不明确：
MySQL：用
；别用
模拟错误，那不会中断执行；
PostgreSQL：在触发器函数里用
；注意不能在
外裸写
，必须包在逻辑分支里；
SQL Server：用
；
也可以，但
更简洁且能保留原始错误堆栈。
示例（PostgreSQL）：
END;
$$ LANGUAGE plpgsql;
白名单表设计要支持细粒度控制，别只存用户名
只存
和
不够用。真实场景中常需区分：
同一用户对不同表有不同操作权限（
/
/
）；
某些用户只能改特定字段（比如
列），而非整行；
权限有时效性（
字段）或绑定客户端 IP（
）。
建议白名单表至少包含：
、
、
、
、
（值为
/
/
）、
（JSON 或逗号分隔字符串，如
）、
、
。触发器中用
（PG）或
（MySQL）做字段级判断。
UPDATE 触发器里对比新旧值容易漏掉 WHERE 条件过滤
权限控制不只是“能不能 UPDATE”，而是“能不能改这些字段 + 这些行”。比如：财务人员可改
，但仅限
的记录。如果触发器只检查字段白名单，没重跑
条件，就会放行非法更新。
安全做法是：在触发器中构造一个临时查询，用
和
构建等价条件，再查白名单是否允许该组合。例如：
这里
存的是字符串模板，不是动态 SQL 执行——避免 SQL 注入。真正复杂的条件判断建议移到应用层或使用行级安全策略（RLS），触发器只做轻量兜底。
触发器不是权限系统的主力，它没法替代 GRANT/REVOKE，也难处理 JOIN 更新、批量操作或视图写入。真要动态白名单，优先考虑数据库原生 RLS（PG）、行级安全策略（SQL Server）或代理层拦截。触发器只适合补漏，而且一旦嵌套多层或涉及大表扫描，性能损耗会立刻暴露。
BEFORE INSERT/UPDATESELECT * FROM permission_whitelist WHERE user = USER()SQL SECURITY INVOKERUSER()CURRENT_USERSESSION_USERSECURITY DEFINERORIGINAL_LOGIN()EXECUTE ASSIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = 'Permission denied'SELECT ... INTO @varRAISE EXCEPTION 'Permission denied for %', current_userIF NOT FOUND THEN ... END IFRAISETHROW 50000, 'Permission denied', 1RAISERRORTHROWCREATE OR REPLACE FUNCTION check_insert_permission()
RETURNS TRIGGER AS $$
DECLARE
allowed BOOLEAN;
BEGIN
SELECT EXISTS (
SELECT 1 FROM permission_whitelist
WHERE table_name = TG_TABLE_NAME
AND user_name = CURRENT_USER
AND operation = 'INSERT'
) INTO allowed;
IF NOT allowed THEN
RAISE EXCEPTION 'User % not whitelisted for INSERT on %', CURRENT_USER, TG_TABLE_NAME;
END IF;
RETURN NEW;user_nametable_nameINSERTUPDATEDELETEstatusvalid_untilclient_ipiduser_nameschema_nametable_nameoperationINSERTUPDATEDELETEcolumns"status,updated_at"valid_untilcreated_atstring_to_array(columns, ',')FIND_IN_SET('status', columns)amountstatus = 'draft'WHEREOLD.*NEW.*-- PostgreSQL 示例：检查是否允许修改 status 字段，且原 status 是 'pending'
IF (OLD.status = 'pending') AND (NEW.status != OLD.status) THEN
PERFORM 1 FROM permission_whitelist
WHERE user_name = CURRENT_USER
AND table_name = TG_TABLE_NAME
AND operation = 'UPDATE'
AND columns @> ARRAY['status']
AND condition_template = 'status = ''pending''';
IF NOT FOUND THEN
RAISE EXCEPTION 'Cannot update status from ''pending''';
END IF;
END IF;condition_template