数据库跨库访问问题

SQL Server中的所有权链及其问题
没有多少朋友对所有权链真的理解的。我自己有时候经常回过来看看这些资料，觉得还是很有意思的。下面的内容摘自微软文档，介绍得比较好

简而言之

1. 如果在同一个数据库中，只要两个对象的所有者是一样的，
那么他们之间的访问是不检查访问者身份的。
例如一个视图和一个表是属于同一个所有者，
那么只要用户有访问视图的权限，就等于拥有了访问表的权限，即便在表上面明确拒绝了用户的权限。
你可能会奇怪了，我们不是经常讲“拒绝优先”吗？没错，拒绝优先是对的，但事情的关键主要在于这个时候，
SQL Server根本就不检查权限了，当然就不存在任何问题。

这个特性可能在规划安全时很有用

2. 如果在不同数据库中，也可以实现与上面同样的所有权链接，此时我们称为“跨数据库所有权链”。因为有安全隐患，所以默认该选项是被禁用的

--以管理员登录
USE MASTER
GO

---创建两个数据库
CREATE DATABASE db1
GO

CREATE DATABASE db2
GO

--在第一个数据库中添加一个表，并添加一点数据
USE db1
GO

CREATE TABLE Table1(ID INT)
GO

INSERT INTO Table1 VALUES(1);
INSERT INTO Table1 VALUES(1);
INSERT INTO Table1 VALUES(1);
INSERT INTO Table1 VALUES(1);

--在第二个数据库中添加一个视图，让他去访问第一个数据库中的表
USE db2
GO

CREATE VIEW db1Table1View
AS
SELECT * FROM db1.dbo.Table1

--因为当前用户是管理员，它会属于sysadmin角色，所以可以访问到。即便没有开启跨数据库所有权链
SELECT * FROM db1Table1View

--创建一个LOGIN1
CREATE LOGIN [LOGIN1] WITH mailto:PASSWORD=N%27pass@word%27

--将该登录映射到db2，成为一个用户
CREATE USER [LOGIN1] FOR LOGIN [LOGIN1];
GO

--使用该用户的身份去访问那个视图
EXECUTE AS USER = 'LOGIN1'
SELECT CURRENT_USER --此时会切换到LOGIN1这个用户
SELECT * FROM db1Table1View --此时会失败，因为该用户不具备对视图的访问权限

--授予用户对视图的SELECT 权限
REVERT --回到之前的身份，因为要做授权
SELECT CURRENT_USER --此时的身份会切换回到chenxizhang所代表的用户，也就是dbo

GRANT SELECT ON [dbo].[db1Table1View] TO [LOGIN1]

--再次切换为LOGIN1身份
EXECUTE AS USER ='LOGIN1';
SELECT CURRENT_USER
SELECT * FROM db1Table1View
--此时出现下面这样的错误,说明当前用户确实试图去访问db1的Table1，但因为不能进行上下文链接，所以还是失败了
/*
消息 916，级别 14，状态 1，第 3 行
服务器主体 "LOGIN1" 无法在当前安全上下文下访问数据库 "db1"。

*/

--切换回chenxizhang身份，启用db1数据库的所有权链接
REVERT
SELECT CURRENT_USER

ALTER DATABASE db1 SET DB_CHAINING ON
ALTER DATABASE db2 SET DB_CHAINING ON

--再次切换为LOGIN1身份
EXECUTE AS USER ='LOGIN1';
SELECT CURRENT_USER
SELECT * FROM db1Table1View
/*
此时仍然出现一个错误。和上面是一样的。既然实现了所有权链接，为什么还是不行呢？

原因是因为在db1中也要存在该用户，即他至少要能访问数据库
*/

REVERT
USE db1
GO

CREATE USER LOGIN1 FOR LOGIN [LOGIN1]
GO

USE db2
GO
--再次切换为LOGIN1身份
EXECUTE AS USER ='LOGIN1';
SELECT CURRENT_USER
SELECT * FROM db1Table1View

转载于:https://www.cnblogs.com/bobsoft/archive/2012/10/07/2714516.html