简而言之，没有任何功能允许授权用户从一个程序（即您的中间层）而不是另一个程序（即交互式查询程序，如 SSMS）进行连接。
我能给你的最好建议是在设计你的系统时假设用户会找到一种直接连接到数据库的方法，因此尽可能限制他们的权限以避免在他们决定这样做时出现任何问题所以。
限制用户在直接连接到数据库时可以在系统上执行的操作的一个策略是使用存储过程来限制他们应该能够在数据库上执行的操作（即他们有权运行 SP，除此之外别无其他)，仅通过签名通过 SP 执行来授予权限。
我还强烈建议使用审核来检测任何滥用用户权限的行为。鉴于您希望所有用户都通过您的中间层应用程序进行连接，因此检测异常活动应该相对容易。
您可能会发现一个有趣的解决方法是使用登录触发器来尝试避免通过非授权程序意外访问（AKA。避免“我不知道”的借口）。但请注意：这不是安全边界，很容易绕过，但它会帮助您让诚实的人保持诚实。
例如：
我授予对我系统上特定组的访问权限，但我想尽可能限制该组对我的应用程序：
CREATE LOGIN [myDomain\myGroup] FROM WINDOWS
因此，我将创建一个登录触发器，该触发器将检查会话中的应用程序名称，并阻止任何我尚未批准这些用户使用的应用程序。
CREATE TRIGGER connection_limit_trigger
ON ALL SERVER
FOR LOGON
AS
BEGIN
IF( IS_SRVROLEMEMBER('sysadmin') != 1 )
BEGIN
IF( IS_MEMBER('myDomain\myGroup') = 1 )
BEGIN
DECLARE @appName nvarchar(256)
SELECT @appName = program_name FROM sys.dm_exec_sessions where session_id = @@SPID
IF( @appName != 'My approved app' )
ROLLBACK;
END
END
END;
请注意，此触发器将影响我的所有用户，因此我添加了检查以避免对某些用户进行不必要的限制。
我有一个我批准的非常简单的应用程序（请参阅连接字符串上的 ApplicationName 属性）：
using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Threading.Tasks;
using System.Data;
using System.Data.SqlClient;
namespace SampleAppSql
{
class Program
{
static void Main(string[] args)
{
SqlConnectionStringBuilder cnnstrbldr = new SqlConnectionStringBuilder();
cnnstrbldr.ApplicationName = @"My approved app";
cnnstrbldr.DataSource = @"."; //local machine
cnnstrbldr.IntegratedSecurity = true;
using (SqlConnection conn = new SqlConnection(cnnstrbldr.ConnectionString))
{
conn.Open();
using (SqlCommand cmd = conn.CreateCommand())
{
cmd.CommandText = @"SELECT @@version;";
string vers = (string)cmd.ExecuteScalar();
System.Console.WriteLine(@"SQL Server version: {0}", vers);
}
conn.Close();
}
}
}
}
当该组的用户尝试连接 SQL Server 时，触发器会检查应用程序名称，如果不匹配，登录触发器将导致连接失败：
C:\>g:\temp\SampleAppSql.exe
SQL Server version: Microsoft SQL Server 2016 (RTM) …
C:\>sqlcmd -E -S .
Sqlcmd: Error: Microsoft ODBC Driver 13 for SQL Server : Logon failed for login 'myDomain\toto' due to trigger execution..
请注意，这种技术不是安全边界，因为授权用户可以简单地操纵应用程序名称并绕过触发器；但违规用户将无法否认她/他故意绕过您的政策。
我希望这些信息对您有所帮助。
更多详情，我推荐以下文章：
-劳尔