sqlserver如何查询数据库删除记录

SQL Server如何查询数据库删除记录

在SQL Server中，查询数据库删除记录并不是一件容易的事情，因为传统的SQL Server并不会自动保留删除的数据记录。查询数据库删除记录的主要方法包括：启用审计日志、使用触发器记录删除操作、启用数据库跟踪、恢复到特定时间点以查看删除数据。使用触发器记录删除操作是一种常见且有效的方法，下面将详细描述这种方法。

使用触发器记录删除操作，通过在删除操作发生时，将删除的数据记录到另一个表中，可以有效地追踪删除记录。这种方法不仅可以记录被删除的数据，还可以记录下删除的时间、删除操作的用户等信息。下面是一个简单的示例：

CREATE TABLE DeletedRecordsLog (
    Id INT PRIMARY KEY,
    DeletedDate DATETIME DEFAULT GETDATE(),
    DeletedBy NVARCHAR(128),
    OriginalData NVARCHAR(MAX)
);
CREATE TRIGGER trgAfterDelete
ON YourTable
AFTER DELETE
AS
BEGIN
    INSERT INTO DeletedRecordsLog (Id, DeletedDate, DeletedBy, OriginalData)
    SELECT d.Id, GETDATE(), SUSER_SNAME(), (SELECT * FROM YourTable WHERE Id = d.Id FOR XML PATH(''))
    FROM DELETED d;
END;

一、启用审计日志

SQL Server的审计功能可以帮助我们记录数据库中的各种操作，包括删除操作。通过审计日志，管理员可以详细了解数据库的操作行为。

1. 设置审计日志

首先，需要创建一个审计对象，并将其绑定到数据库。以下是一个简单的示例：

-- 创建审计对象
CREATE SERVER AUDIT Audit_Delete
TO FILE (FILEPATH = 'C:AuditLogs', MAXSIZE = 100 MB);
-- 启用审计对象
ALTER SERVER AUDIT Audit_Delete
WITH (STATE = ON);
-- 创建数据库审计规范
CREATE DATABASE AUDIT SPECIFICATION Audit_Delete_Spec
FOR SERVER AUDIT Audit_Delete
ADD (DELETE ON DATABASE::YourDatabase BY [public]);
-- 启用数据库审计规范
ALTER DATABASE AUDIT SPECIFICATION Audit_Delete_Spec
WITH (STATE = ON);

2. 查看审计日志

审计日志可以记录删除操作，管理员可以通过系统视图查看审计日志：

SELECT *
FROM sys.fn_get_audit_file ('C:AuditLogs*', DEFAULT, DEFAULT);

二、使用触发器记录删除操作

触发器是数据库中自动执行的程序，可以在数据被修改时自动触发。通过触发器，可以记录删除操作的详细信息。

1. 创建日志表

首先，需要创建一个日志表来存储删除的记录：

CREATE TABLE DeletedRecordsLog (
    Id INT PRIMARY KEY,
    DeletedDate DATETIME DEFAULT GETDATE(),
    DeletedBy NVARCHAR(128),
    OriginalData NVARCHAR(MAX)
);

2. 创建触发器

然后，创建一个触发器来记录删除操作：

CREATE TRIGGER trgAfterDelete
ON YourTable
AFTER DELETE
AS
BEGIN
    INSERT INTO DeletedRecordsLog (Id, DeletedDate, DeletedBy, OriginalData)
    SELECT d.Id, GETDATE(), SUSER_SNAME(), (SELECT * FROM YourTable WHERE Id = d.Id FOR XML PATH(''))
    FROM DELETED d;
END;

三、启用数据库跟踪

SQL Server Profiler和SQL Trace可以用于跟踪和记录数据库的操作，包括删除操作。

1. 启用数据库跟踪

使用SQL Server Profiler，可以创建一个新的跟踪来捕获删除操作：

DECLARE @TraceID INT;
DECLARE @MaxSize BIGINT = 5;
EXEC sp_trace_create @TraceID OUTPUT, 0, N'C:TraceFilesDeleteTrace', @MaxSize, NULL;
EXEC sp_trace_setevent @TraceID, 42, 10, 1;
EXEC sp_trace_setstatus @TraceID, 1;

2. 查看跟踪文件

跟踪文件可以记录删除操作，管理员可以通过SQL Server Profiler查看跟踪文件：

SELECT *
FROM sys.fn_trace_gettable('C:TraceFilesDeleteTrace.trc', DEFAULT);

四、恢复到特定时间点

如果以上方法都未能捕获删除记录，最后的手段是恢复数据库到特定的时间点，以查看删除的数据。

1. 备份数据库

首先，需要确保数据库有定期备份：

BACKUP DATABASE YourDatabase
TO DISK = 'C:BackupsYourDatabase.bak';

2. 恢复数据库到特定时间点

如果需要恢复到特定时间点，可以使用RESTORE命令：

RESTORE DATABASE YourDatabase
FROM DISK = 'C:BackupsYourDatabase.bak'
WITH STOPAT = '2023-10-10 12:00:00';

通过这些方法，可以有效地查询和记录数据库的删除操作，确保数据的安全性和可追溯性。使用触发器记录删除操作是最常见的方法，能够实时记录删除数据，方便后续的查询和审计。