如何阻止非我的C#应用连接或访问SQL Server数据库？

问题场景 #

基于.NET构建的系统，目前存在第三方应用可非法访问SQL Server数据库的问题，需要实现仅自身开发的C#应用能连接并操作该数据库。尝试过停用Windows身份验证、配置登录触发器等方案，但均未达到预期效果，此前使用的触发器代码如下：

CREATE TRIGGER trg_restrict_app_access
ON ALL SERVER
FOR LOGON
AS
BEGIN
    IF ORIGINAL_LOGIN() = 'myUsername' AND APP_NAME() <> 'MyApp'
    BEGIN
        ROLLBACK;
        THROW 50000, 'Unauthorized application', 1;
    END
END;
GO

触发器失效原因排查 #

• 应用名称不匹配：C#应用连接数据库时，APP_NAME()返回的实际名称可能和你设定的'MyApp'不一致。可以先在C#代码中执行SELECT APP_NAME();查询真实值，再修改触发器中的匹配字符串。
• 权限不足：创建服务器级登录触发器需要ALTER ANY SERVER TRIGGER权限，确认执行创建语句的账号拥有该权限。
• 触发器未启用：执行SELECT name, is_disabled FROM sys.server_triggers WHERE name = 'trg_restrict_app_access';检查状态，若is_disabled为1，运行ENABLE TRIGGER trg_restrict_app_access ON ALL SERVER;启用。

优化后的限制方案 #

1. 明确指定连接字符串的应用名称 #

在C#应用的连接字符串中显式设置Application Name参数，保证APP_NAME()返回固定值，示例：

"Server=你的服务器地址;Database=你的数据库名;User Id=myUsername;Password=你的密码;Application Name=MyApp;"

2. 修正后的登录触发器 #

确认应用名称匹配后，使用以下触发器（替换实际的登录名和应用名）：

CREATE TRIGGER trg_restrict_app_access
ON ALL SERVER
FOR LOGON
AS
BEGIN
    SET NOCOUNT ON;
    DECLARE @login NVARCHAR(128) = ORIGINAL_LOGIN();
    DECLARE @app NVARCHAR(128) = APP_NAME();

    IF @login = 'myUsername' AND @app <> 'MyApp'
    BEGIN
        RAISERROR('非法应用访问', 16, 1);
        ROLLBACK;
    END
END;
GO

3. 额外安全加固措施 #

• IP白名单：在SQL Server所在服务器的防火墙或数据库层面，仅允许应用服务器的IP地址访问数据库。
• 证书验证：为C#应用配置客户端证书，在数据库中创建对应登录名，仅允许通过证书验证的连接访问。

内容的提问来源于stack exchange，提问作者Abdullah Al-sayyad