无需授予VIEW SERVER STATE权限，通过存储过程限定访问SQL Server DMV字段

核心思路是让存储过程以拥有VIEW SERVER STATE权限的专用身份执行，普通用户仅需获得存储过程的执行权限，无需直接拥有服务器状态查看权限，同时严格控制返回的字段范围。

步骤1：创建专用权限的登录与用户 #

创建一个仅拥有VIEW SERVER STATE权限的低权限账号，专门用于执行该存储过程：

-- 创建专用登录（设置强密码）
CREATE LOGIN DMV_Proxy_Login WITH PASSWORD = 'YourStrongPassword@2024';
GO

-- 在目标数据库中映射用户
CREATE USER DMV_Proxy_User FOR LOGIN DMV_Proxy_Login;
GO

-- 仅授予必要的服务器状态查看权限
GRANT VIEW SERVER STATE TO DMV_Proxy_User;
GO

步骤2：修改存储过程，指定执行身份并限制返回字段 #

修改存储过程，通过EXECUTE AS指定用上述专用用户身份执行，同时只返回你需要的字段：

ALTER PROCEDURE myschema.GetUserSessions
WITH EXECUTE AS 'DMV_Proxy_User'
AS
BEGIN
    SET NOCOUNT ON;

    -- 仅返回允许的字段，可根据需求调整
    SELECT 
        s.session_id,
        s.login_name,
        s.host_name,
        s.program_name,
        c.connect_time,
        c.client_net_address
    FROM sys.dm_exec_sessions s
    INNER JOIN sys.dm_exec_connections c 
        ON s.session_id = c.session_id
    -- 可选：仅返回调用者自身的会话，进一步缩小数据范围
    -- WHERE s.login_name = ORIGINAL_LOGIN();
END
GO

步骤3：给普通用户授予存储过程执行权限 #

只需要给普通用户授予执行该存储过程的权限，无需其他额外权限：

GRANT EXECUTE ON myschema.GetUserSessions TO [YourRegularUserName];
GO

方案优势 #

• 权限最小化：普通用户无直接访问DMV的权限，仅能通过存储过程获取受限字段；专用代理账号也仅拥有必要的VIEW SERVER STATE权限，无其他多余权限。
• 实时数据：无需中间表同步，直接从DMV获取最新数据。
• 可控性：完全由存储过程定义返回的字段和数据范围，避免敏感信息泄露。

内容的提问来源于stack exchange，提问作者Paul