ASP.NET应用如何将AD用户身份传递到SQL Server连接用于时态表审计？

针对你的场景，有几种实用方法可以把AD用户身份传递到SQL Server，不用每次手动指定：

1. 改用Windows集成身份验证连接 #

这是最省心的方案：把SQL连接字符串改成用Windows身份验证，让SQL Server直接识别当前的AD用户。

• 连接字符串写法：

  Server=你的服务器地址;Database=你的数据库;Trusted_Connection=True;
  

  或者用Integrated Security=SSPI替代Trusted_Connection=True，效果一致。
• 配置要点：
  • 如果是IIS托管的ASP.NET应用：把应用池的运行身份改成域账户，或者开启网站的Windows身份验证并启用用户模拟（在web.config里设置<identity impersonate="true"/>）。这样SQL Server会拿到当前访问应用的AD用户身份。
  • 触发器里直接用SUSER_SNAME()就能获取到这个AD账户，无需额外传参。

2. 用EXECUTE AS切换SQL会话身份 #

如果没法直接改集成身份（比如必须保留原SQL账户连接），可以在打开连接后手动切换到目标AD用户身份：

• 代码示例（C#）：

  using (var conn = new SqlConnection("你的SQL账户连接字符串"))
  {
      conn.Open();
      // 切换到当前AD用户身份
      using (var cmd = new SqlCommand("EXECUTE AS USER = @User", conn))
      {
          cmd.Parameters.AddWithValue("@User", User.Identity.Name); // 获取当前登录的AD用户
          cmd.ExecuteNonQuery();
      }
  
      // 后续的增删改操作都会以这个AD用户身份执行，触发器能直接捕获
      // ... 你的业务代码 ...
  
      // 用完可切回原SQL账户（可选，连接关闭后会自动还原）
      // using (var cmd = new SqlCommand("REVERT", conn)) cmd.ExecuteNonQuery();
  }
  

• 注意：需要给你的SQL账户授予IMPERSONATE权限，执行GRANT IMPERSONATE ON USER::[DOMAIN\UserName] TO [SQL账户名]（如果要支持所有域用户，可用GRANT IMPERSONATE ON LOGIN::[DOMAIN\*] TO [SQL账户名]）。

3. 用会话上下文传递用户信息 #

如果不想切换身份，只是需要把AD用户信息传给触发器，用SQL Server的会话上下文变量是轻量方案：

• 应用端代码（C#）：

  using (var conn = new SqlConnection("你的SQL账户连接字符串"))
  {
      conn.Open();
      // 设置会话上下文变量，存储当前AD用户
      using (var cmd = new SqlCommand("EXEC sp_set_session_context @key = N'CurrentADUser', @value = @UserName", conn))
      {
          cmd.Parameters.AddWithValue("@UserName", User.Identity.Name);
          cmd.ExecuteNonQuery();
      }
  
      // 后续操作时，触发器可以读取这个变量
      // ... 你的业务代码 ...
  }
  

• 触发器里读取用户信息：

  CREATE TRIGGER [你的触发器名] ON [你的表]
  AFTER UPDATE
  AS
  BEGIN
      DECLARE @CurrentUser NVARCHAR(128) = SESSION_CONTEXT(N'CurrentADUser');
      -- 用@CurrentUser执行审计逻辑
  END
  

• 这个方案不需要修改连接身份，也无需特殊权限（默认所有用户都能使用sp_set_session_context）。

内容的提问来源于stack exchange，提问作者Shawn