限制SELECT权限的Azure SQL角色如何隐藏未授权对象存在性

在Azure SQL数据库中，系统错误消息（如229）无法通过sp_altermessage修改，只能通过权限架构设计消除错误信息差异，让未授权对象与不存在对象返回相同的208错误。

核心思路：专用架构封装可访问对象 #

将用户有权访问的对象统一放到专用架构中，限制用户仅能访问该架构并设置其默认架构为专用架构，这样用户访问未授权对象时，会因找不到对应架构下的对象返回208错误，与真实不存在的对象表现一致。

具体步骤： #

1. 创建专用访问架构

CREATE SCHEMA UserRestrictedAccess;

2. 映射可访问对象到专用架构
   推荐通过同义词映射（避免修改原表架构）：

-- 为授权表创建同义词，关联到原表
CREATE SYNONYM UserRestrictedAccess.Foo FOR dbo.Foo;
-- 重复此步骤为所有用户有权访问的表创建同义词

3. 给受限角色授予专用架构权限

-- 授予该架构下的SELECT权限（按需调整为INSERT/UPDATE等）
GRANT SELECT ON SCHEMA::UserRestrictedAccess TO [YourRestrictedRole];
-- 撤销对原dbo架构的所有权限（若之前有授予）
REVOKE ALL ON SCHEMA::dbo FROM [YourRestrictedRole];

4. 设置用户默认架构为专用架构
   确保用户执行查询时默认访问专用架构，无需手动指定：

ALTER USER [RestrictedUser] WITH DEFAULT_SCHEMA = UserRestrictedAccess;

额外补充：限制系统视图访问 #

为彻底防止用户通过系统视图枚举数据库对象，需撤销角色对系统目录视图的访问权限：

REVOKE VIEW DEFINITION ON SCHEMA::sys FROM [YourRestrictedRole];
REVOKE SELECT ON sys.objects FROM [YourRestrictedRole];
REVOKE SELECT ON sys.tables FROM [YourRestrictedRole];

配置完成后，用户执行SELECT * FROM ATableTheyDoNotHaveAccessTo时，会因默认架构UserRestrictedAccess中不存在该对象，返回与SELECT * FROM Foo（真实不存在的表）完全相同的"Msg 208 Invalid object name"错误，无法通过错误信息推断未授权对象的存在。

内容的提问来源于stack exchange，提问作者DinahMoeHumm