确定当前正在进行的安全检查 (SQL Server)

Question

我一直最讨厌 MS SQL Server 中的一件事就是安全性的工作方式。如果你有趣地看待服务器，安全上下文会不断切换，而且通常很难（无论如何对我来说）预测或调试。

在今天处理一个问题时，我想，“我希望我可以在代码中添加一行，以显示 SQL Server 在代码运行时使用的安全上下文。”存在这样的命令吗？例如，SELECT security_context()

更清楚一点...如果我位于存储过程中，因此受到 SP 所有者的安全上下文的约束，那么我想看到了。如果我在由 sp_executesql 调用的代码中，并且它导致安全性处于 SQL Server 服务帐户的上下文中，那么我希望看到这一点。

至少这样我也许能够弄清楚为什么 SQL Server 认为我不应该访问某些内容。

谢谢！

---

示例

-- Set up
CREATE USER Test_User WITHOUT LOGIN
CREATE TABLE Test_Security_Context (my_id INT)
INSERT INTO Test_Security_Context VALUES (1)
DENY SELECT ON Test_Security_Context TO Test_User
GO
CREATE PROCEDURE Test_Security_Context_SP
AS
  SELECT SUSER_SNAME()
  SELECT * FROM Test_Security_Context  -- This will return ok
  EXEC('SELECT SUSER_SNAME(); SELECT * FROM Test_Security_Context')  -- SUSER_SNAME() will match above but select fails
GO
GRANT EXECUTE ON Test_Security_Context_SP TO Test_User
GO

-- Switch to the new user
SETUSER 'Test_User'
GO

-- Do the test
EXEC Test_Security_Context_SP
GO

-- Clean up
SETUSER
DROP PROCEDURE Test_Security_Context_SP
DROP TABLE Test_Security_Context
DROP USER Test_User
GO

Answer 1

是的，有这样一对视图代表您当前的安全上下文，考虑 EXECUTE AS 或代码签名等所有细节：

• sys.login_token 用于服务器范围上下文
• sys.user_token 用于当前数据库上下文

您获得的每一次访问最终都源自这些结果返回中的一行。请注意，某些访问权限是通过硬编码角色成员身份隐式进行的（例如 db_datareader 数据库角色或 sysadmin 服务器角色）。

除此之外：

• 所有权链与安全上下文无关：您不在 SP 所有者的“上下文”下。所有权链只是指出，对于与当前对象（SP、视图）属于同一所有者的对象，将跳过访问检查。
• sp_executesql 不会以任何方式更改安全上下文

Answer 2

不确定这是否是您所说的安全上下文的意思，但您可以检索与您的会话关联的用户，例如：

select SYSTEM_USER

这适用于 SQL Server 登录或 WIndows 登录。它甚至可以在以所有者身份执行的存储过程中运行。例如，

create procedure dbo.Test
with execute as owner
as
select SYSTEM_USER
go
exec dbo.Test
select SYSTEM_USER

打印：

sa
MyMachine\MyName

如果您正在查找 SQL Server 用来代表您执行操作的 Windows 帐户，您可以尝试从以下命令运行 whoami：

EXEC sp_configure 'show advanced options', 1
RECONFIGURE
EXEC sp_configure 'xp_cmdshell', 1
RECONFIGURE

EXEC master..xp_cmdshell 'whoami'

对于我来说，这将返回 < code>nt 权限\网络服务。

Answer 3

我认为您想使用 CURRENT_USER 来查看当前的安全上下文。这是一个示例：

SELECT CURRENT_USER AS 'Current User Name';
GO
EXECUTE AS LOGIN = 'junk'
GO
SELECT CURRENT_USER AS 'Current User Name';
GO
REVERT
SELECT CURRENT_USER AS 'Current User Name';
GO

带有输出（注意：我是 SQL Server 的管理员）

Current User Name
------------------
dbo

(1 row(s) affected)

Current User Name
------------------
Junk

(1 row(s) affected)

Current User Name
------------------
dbo

(1 row(s) affected)