快捷導(dǎo)航

Sql Server 2016新功能之Row-Level Security(值得關(guān)注)

更新時間：2016年11月07日 16:21:28 作者：神崎橙

Sql Server 2016 有一個新功能叫 Row-Level Security 。下面通過實例給大家介紹Sql Server 2016新功能之Row-Level Security，感興趣的朋友一起看看吧

Sql Server 2016 有一個新功能叫 Row-Level Security ，大概意思是行版本的安全策略(原來我是個英語渣_(:з」∠)_)

直接上例子。這個功能相當通過對表添加一個函數(shù)作為過濾規(guī)則，使得擁有不同條件的用戶(或者登錄名) 之類的，只能獲取到符合條件的數(shù)據(jù)。相對來說是提供了那么一點的便捷性，當然也增加了數(shù)據(jù)的安全性，相當于每個用戶連接進來只能看到

符合規(guī)則的數(shù)據(jù)(當然，這里的用戶只是一個舉例。其實是可以通過編寫過濾函數(shù)來實現(xiàn)的)

舉個例子

有三個用戶 Sales1 ,Sales 2 ,Manager 3個數(shù)據(jù)庫用戶，然后用一個Sales的表來寄存他們的訂單記錄

CREATE TABLE Sales 
( 
OrderID int, 
SalesRep sysname, 
Product varchar(10), 
Qty int 
); 
INSERT Sales VALUES 
(1, 'Sales1', 'Valve', 5), 
(2, 'Sales1', 'Wheel', 2), 
(3, 'Sales1', 'Valve', 4), 
(4, 'Sales2', 'Bracket', 2), 
(5, 'Sales2', 'Wheel', 5), 
(6, 'Sales2', 'Seat', 5); 
-- View the 6 rows in the table 
SELECT * FROM Sales; 
go

這是全部表的數(shù)據(jù)的截圖

然后添加3個用戶，分別就是Sales1 Sales2 Manager 3個用戶，分別對他們的賦予Sales表的查詢和刪除(用于測試刪除功能) 的權(quán)限。

CREATE USER Manager WITHOUT LOGIN; 
CREATE USER Sales1 WITHOUT LOGIN; 
CREATE USER Sales2 WITHOUT LOGIN;
GRANT SELECT,delete ON Sales TO Manager; 
GRANT SELECT,delete ON Sales TO Sales1; 
GRANT SELECT,delete ON Sales TO Sales2;

然后以下是這個功能的核心部分。首先我們創(chuàng)建一個過濾函數(shù)，然后將這個過濾函數(shù)添加到這個表的安全策略里面，就可以看到效果了。

函數(shù)邏輯很簡單，傳入一個@SalesRep 的名稱，用于匹配當前的 User_Name。匹配了才返回數(shù)據(jù)

然后下面一行是創(chuàng)建了一個安全策略，并且在Sales 的表里面使用函數(shù) fn_securitypredicate 作為表的篩選器。傳入函數(shù)的參數(shù)選定為 SalesRep 字段(也就是我們建表的那個銷售代表字段了)

CREATE FUNCTION fn_securitypredicate(@SalesRep AS sysname) 
RETURNS TABLE 
WITH SCHEMABINDING 
AS 
RETURN SELECT 1 AS fn_securitypredicate_result 
WHERE @SalesRep = USER_NAME() OR USER_NAME() = 'Manager'; 
CREATE SECURITY POLICY SalesFilter 
ADD FILTER PREDICATE dbo.fn_securitypredicate(SalesRep) 
ON dbo.Sales 
WITH (STATE = ON);

然后我們看下查詢的結(jié)果

EXECUTE AS USER = 'Sales1'; 
SELECT * FROM Sales; 
REVERT; 
EXECUTE AS USER = 'Sales2'; 
SELECT * FROM Sales; 
REVERT; 
EXECUTE AS USER = 'Manager'; 
SELECT * FROM Sales; 
REVERT;