相关疑难解决方法(0)

我的老板昨天收到一个客户的询问，询问他们如何找出谁删除了他们 SQL Server 数据库中的某些数据（如果重要的话，它是快速版）。

我认为这可以从事务日志中找到（前提是它没有被截断） - 这是正确的吗？如果是这样，您实际上如何查找这些信息？

我有一张不断更新的表，没有人能弄清楚更新的来源。我怀疑它们来自实体框架，但我想通过扩展事件捕获更新和相关信息来证明这个理论。

我正在使用 SQL 2014 Enterprise，并尝试使用 exec_prepared_sql 和 sql_statement_starting 事件捕获该信息。这是我到目前为止所拥有的：

CREATE EVENT SESSION [Query Trace] ON SERVER 
ADD EVENT sqlserver.exec_prepared_sql(
    ACTION(sqlserver.client_app_name,sqlserver.client_hostname,sqlserver.database_id,sqlserver.database_name,sqlserver.plan_handle,sqlserver.session_id,sqlserver.sql_text,sqlserver.username)
    WHERE ([sqlserver].[like_i_sql_unicode_string]([sqlserver].[sql_text],N'%UPDATE %') AND [sqlserver].[like_i_sql_unicode_string]([sqlserver].[sql_text],N'%TableA%') AND [sqlserver].[database_id]=(123))),
ADD EVENT sqlserver.sql_statement_starting(
    ACTION(sqlserver.client_app_name,sqlserver.client_hostname,sqlserver.database_id,sqlserver.database_name,sqlserver.plan_handle,sqlserver.session_id,sqlserver.sql_text,sqlserver.username)
    WHERE ([sqlserver].[like_i_sql_unicode_string]([sqlserver].[sql_text],N'%UPDATE %') AND [sqlserver].[like_i_sql_unicode_string]([sqlserver].[sql_text],N'%TableA%') AND [sqlserver].[database_id]=(123)))
ADD TARGET package0.event_file(SET filename=N'E:\ExtendedEvent\Query-Trace.xel')
WITH (MAX_MEMORY=4096 KB,EVENT_RETENTION_MODE=ALLOW_SINGLE_EVENT_LOSS,MAX_DISPATCH_LATENCY=30 SECONDS,MAX_EVENT_SIZE=0 KB,MEMORY_PARTITION_MODE=NONE,TRACK_CAUSALITY=ON,STARTUP_STATE=OFF)
GO

这似乎工作得很好，我已经对其进行了测试，并且能够捕获常规 UPDATE 语句和使用 sp_executesql 调用的语句。但是，我仍然缺少一些东西。表中的数据仍在修改，并且此扩展事件未捕获执行此操作的 UPDATE。

所以，我的问题是：

1) 为了捕获可能来自实体框架的更新，我还需要在扩展事件中观察其他什么吗？

2）为此我应该使用其他什么来代替扩展事件吗？

谢谢！

我在 sql server 日志中注意到以下内容，有什么方法可以确定发起此更改的登录名/用户。似乎数据库被设置为单用户模式并返回到多用户模式。这是日志片段

Date       10/10/2017 8:55:27 PM
Log         SQL Server (Current - 10/11/2017 8:00:00 AM)
Source      spid139
Message     Setting database option MULTI_USER to ON for database 'DBNAME'