设置权限
不论用户或角色,都是权限的设置对象。除了应用程序角色较特殊,与其他角色及用
户有相互排斥关系外,数据库角色及成员在权限的关系上非常密切。一个用户可能同时隶
属于多个数据库角色,每一角色又可拥有不同权限,此时用户获取实际权限的原则是“并
集”,除非有 deny(禁止)的设置。如角色 A 禁止读取数据表 B,但角色 C 可读取数据表
B,此时同时隶属角色 A 和 C 的用户,仍无法读取数据表 B,因为他已被禁止。
在权限的作用对象上,可分为服务器及数据库,即这两者可分别设置权限,请见如下
说明。
指定服务器权限
(1)在对象资源管理器的服务器上右击,再选择“属性”。
(2)在对话框中切换至“权限”。
(3)在“登录名或角色”中选择要设置权限的对象,在“显式权限”中分别勾选授权,
完成后单击“确定”按钮,如图 15-21 所示。
如图 15-21 所示,就是对服务器的权限设置。“授权者”就是当前登录至 SQL Server
服务器的登录名;“权限”是所有当前登录名可设置的权限;“授予”表示授予权限;若勾
选“具有授予”,表示 sa 授予选中对象的权限可再授予其他登录名;“拒绝”就是禁止使用。
这三个选项的选择有其连带关系,勾选“拒绝”,就自动清除“授予”及“具有授予”;若
勾选“具有授予”,则清除“拒绝”并选择“授予”。
“登录名或角色”就是被设置权限的对象,读者可单击“添加”按钮,指定其他登录
名或角色,但所有内置服务器角色均无法更改权限,但可以为 public 角色指定权限。
若要查看当前选择登录名或角色的权限,请单击“有效权限”按钮,因为有效权限可
能不止在图 15-21 中设置,还要视登录名所属的角色而定。所以图 15-21 只会显示在此设
置定义的权限,默认已有的权限则不会显示。
图 15-21 设置服务器权限
指定数据库权限
(1)在对象资源管理器中选择 eBook 数据库,右击后选择“属性”。
(2)在对话框中切换至“权限”。
(3)在“用户或角色”中选择要设置权限的对象,“显式权限”中分别勾选权限,完
成后单击“确定”按钮,如图 15-22 所示。
对象权限
(1)在对象资源管理器中选择 eBook 数据库,打开“数据表”,选择“Orders”数据
表,右击后选择“属性”。
(2)在对话框中切换至“权限”。
(3)单击“添加”按钮,再在对话框中指定要更改权限的用户、数据库角色或应用程
序角色。
(4)在“用户或角色”中选择要设置权限的对象,“显式权限”中分别勾选权限,完
成后单击“确定”按钮,如图 15-23 所示。
图 15-21 及图 15-23 的操作方式完全相同,区别是分别设置服务器、数据库及对象的
权限,可设置的对象也不同。在图 15-21 中可为登录名及服务器角色指定权限,在图 15-22
及图 15-23 中可为用户、数据库角色及应用程序角色指定权限;另一区别是可指定的权限
内容不同。
图 15-22 设置数据库权限
图 15-23 设置对象权限
权限内容
SQL Server 可设置的权限内容非常复杂,由服务器到对象共有 94 个权限,较难理解的
是服务器及数据库的属性,重要项目如表 15-4 所示。
表 15-4 重要权限说明
权限内容 | 说明 |
CONTROL | 将类似所有权的能力授予给被授予者。被授予者实际上拥有安全对 |
象上已定义的所有权限 | |
ALTER | 授予更改特定安全对象的属性(除了所有权之外)的能力。在特定范 |
围授予 ALTER 权限时,也会一起授予更改、创建或删除该范围内 | |
包含的任何安全对象的能力 | |
ALTER ANY <服务器安全对象> | 授予创建、更改或删除服务器安全对象的个别实例的能力 |
ALTER ANY <数据库安全对象> | 授予 CREATE、ALTER 或 DROP 数据库安全对象的个别实例的 |
能力 | |
TAKE OWNERSHIP | 让被授予者可以取得被授予的安全对象的所有权 |
CREATE <服务器安全对象> | 将创建服务器安全对象的能力授予被授予者 |
CREATE <数据库安全对象> | 将创建数据库安全对象的能力授予给被授予者 |
VIEW DEFINITION | 让被授予者能访问元数据 |
表 15-4 中的“安全对象”指的是权限设置操作的作用对象,如“Create Role”中的“Role”
就是此处的安全对象。
用 T-SQL 设置权限
在 T-SQL 中设置权限可使用 GRANT(授予)、DENY(拒绝)及 REVOKE(撒销)三个语句,
这三个语句的用法非常多,基本形式如下:
GRANT ALL 或权限名称 ON 对象 TO 用户或角色名称 WITH 选项
REVOKE ALL 或权限名称 ON 对象 TO 用户或角色名称 CASCADE
DENY ALL 或权限名称 ON 对象 TO 用户或角色名称 CASCADE
每 一 语 句 都 有 三 个 元 素 , 分 别 是 权 限 名 称 、 对 象 及 用 户 ( 角 色 ), 如 下
(Ch15/1524Grant.sql):
USE eBook
GRANT SELECT ON OBJECT::dbo.members TO David
GRANT REFERENCES (MemberID) ON OBJECT::dbo.Orders
TO David WITH GRANT OPTION
以上语句是使用 Grant 语句分别授予权限给 David,但对象内容不同,对象名称请以
“OBJECT::”开头,其后最好使用完整名称,即加上所有者。第二个 Grant 语句的作用对
象较特殊,“(MemberID) ON OBJECT:: dbo.Orders”,表示作用于 Orders 对象的 MemberID
字段,将此列的视图权限授予 David。同时加上“WITH GRANT OPTION”,表示 David 可
再将此权限授予他人,相当于图 15-23 的“具有授予”。
而在 Revoke 及 Deny 语句中,最后可加入 Cascade,此关键词的功能是一起撤销 To 之
后用户可授予其他人的权限,即取消“具有授予”。
查看可用权限
由于可用权限非常多,在 T-SQL 中没有选项可供选择,所以使用 GRANT、DENY 及
REVOKE 时,必须首先知道权限名称才能进行设置。读者可查看 sys.fn_builtin_permissions、
sys.database_permissions、sys.server_permissions 三个系统数据表,如图 15-24 所示。
图 15-24 查看可用权限
图 15-24 中的“permission_name”就是可用的权限名称,可应用在 Grant、DENY 或
Revoke 语句中。
查看权限内容
若要查看当前登录名及用户的权限内容,可执行 sp_helprotect 存储过程,如图 15-25
所示。
图 15-25 中的 Grantee 是授予权限的用户名称,Grantor 是将权限授予他人的用户名称。
sp_helprotect 存储过程之后最多可使用四个参数,分别代表对象名称、用户名称、授予人名
称,第四个参数可以是 o 或 s,分别代表查询对象权限或语句权限。
图 15-25 查看权限内容