如何防止在Azure中因EF update-database命令误创建数据库？

1. 直接限制SQL登录账户的建库权限 #

Azure SQL服务器的登录账户默认带创建数据库的权限，这就是EF能自动建库的核心原因。直接用T-SQL修改权限：

• 找到你EF迁移用的登录账户，执行这条命令锁死建库权限：

  DENY CREATE ANY DATABASE TO [你的登录账户名];
  

  之后不管是update-database拼错库名，还是用SSMS登录该账户，都没法新建数据库，直接触发报错，不会触发扣费。
• 若确实需要临时创建数据库，再临时开放权限：

  GRANT CREATE ANY DATABASE TO [你的登录账户名];
  

  操作完成后立刻收回权限即可。

2. 配置Azure Policy彻底卡死建库操作 #

之前策略没生效大概率是配置不到位，直接创建针对性策略：

• 新建Azure Policy，可选两种规则：
  • 直接拒绝创建所有SQL数据库：针对Microsoft.Sql/servers/databases/write操作设置拒绝规则，彻底封死新库创建。
  • 限定仅能创建免费层级数据库：针对Microsoft.Sql/servers/databases资源，设置sku.name必须等于Basic，不符合则拒绝创建。
• 将策略分配到你的订阅或项目资源组，所有协作者的操作都会受该策略约束。

3. 给EF迁移加安全校验，从代码层面堵漏洞 #

从EF配置和迁移流程入手，阻止自动建库：

• 先修改DbContext配置，移除自动创建数据库的逻辑，仅保留迁移支持：

  builder.Services.AddDbContext<YourDbContext>(options =>
      options.UseSqlServer(connectionString, b => b.MigrationsAssembly("YourProject"))
          .UseQueryTrackingBehavior(QueryTrackingBehavior.NoTracking));
  

• 给迁移流程加前置检查，确认数据库存在后再执行迁移：

  using var context = new YourDbContext();
  if (!context.Database.CanConnect())
  {
      Console.WriteLine("数据库不存在！请先检查连接字符串，或手动创建数据库后再执行迁移！");
      return;
  }
  await context.Database.MigrateAsync();
  

  这样就算拼错库名，迁移会直接终止，不会触发自动建库。

4. 给SQL Server添加资源锁强化防护 #

给你的SQL Server资源配置两种锁：

• 只读锁：阻止所有修改操作，包括新建数据库，适合测试环境或不需要新增数据库的场景（注意会影响现有数据库的更新操作）。
• 删除锁：防止误删SQL Server本身，同时间接限制数据库创建操作。

5. 给协作者配置最小权限的Azure AD角色 #

避免给协作者分配权限过大的角色，改用细粒度权限：

• 直接分配SQL DB Contributor角色：该角色仅能管理现有数据库，无法创建新数据库或SQL Server。
• 若需要更精准控制，自定义Azure AD角色，移除创建SQL数据库的权限，确保协作者仅能操作指定的现有数据库。

内容的提问来源于stack exchange，提问作者Felix Ting