如何参数化 SQL REVOKE 命令

Question

如何参数化 SQL REVOKE 命令？

DECLARE @ViewName nvarchar = 'MyViewName'
DECLARE @UserRole nvarchar = 'MyRoleName'

REVOKE SELECT ON [@ViewName] TO [@UserRole]

输出以下错误：

Cannot find the object '@ViewName', because it does not exist or you do not have permission.`

我需要使用动态 SQL 来解决这个问题还是有其他方法？

我的实际用例在 ASP.NET SqlDataClient 中，并且正在生成代码，因此我对它的控制有限。发送到 SQL 的代码（由 SQL Profiler 嗅探）是：

exec sp_executesql N'REVOKE SELECT ON [@ViewName] TO [@UserRole]',N'@ViewName nvarchar(24),@UserRole nvarchar(12)',@ViewName=N'MyViewName',@UserRole=N'MyUserRole'

Answer 1

因为GRANT 和REVOKE 本身需要相当大的权限，所以在构建动态SQL 并可以在不同凭据下执行命令的存储过程中执行此操作通常很有吸引力。这样，您可以通过控制对存储过程的访问来选择性地为REVOKE 分配权限，如果需要，可以添加审核，最后但并非最不重要的是，您可以继续使用参数。

在这种情况下：

CREATE PROCEDURE dbo.RevokeSelect(@ObjectName NVARCHAR(128), @RoleName NVARCHAR(128)) 
WITH EXECUTE AS OWNER AS BEGIN
    SET NOCOUNT ON;

    DECLARE @SQL NVARCHAR(MAX);
    SELECT @SQL = REPLACE(REPLACE(
        N'REVOKE SELECT ON @ObjectName TO @RoleName;',
        '@ObjectName', QUOTENAME(@ObjectName)),
        '@RoleName', QUOTENAME(@RoleName))
    ;
    -- For debugging
    --PRINT @SQL
    EXEC (@SQL)
END;
GO
GRANT EXECUTE ON dbo.RevokeSelect TO [application_login];

感谢EXECUTE AS OWNER，[application_login] 帐户无需额外权限；它可以通过存储过程REVOKE SELECT在数据库中的任何对象上。这可能正是您想要的，但如果不是，您应该删除 EXECUTE AS OWNER 并授予单独的 CONTROL 对对象的权限（但这当然也允许许多其他操作）。

请注意，执行动态 SQL 的过程需要仔细审查，以确保它不会受到 SQL 注入的影响，就像使用动态 SQL 的任何其他过程一样。显然，如果该过程使用EXECUTE AS OWNER，则这一点更为重要，因为它可以做任何事情。在这种情况下，将QUOTENAME 应用于两个参数即可解决此问题。

最后但同样重要的是，虽然EXECUTE AS OWNER 简单方便，但如果数据库所有者不是帐户而是组，它就会失败。在这种情况下，如果要委派权限，则必须创建一个代理帐户以在 EXECUTE AS 中使用或使用证书对存储过程进行签名。如果开发人员不能被EXECUTE AS OWNER 的力量所信任，那么无论如何您都可能想要这样做。这超出了此答案的范围，但 Erland Sommerskog 对此主题有一个excellent writeup。