如何限制SQL Server中特定用户使用@@version全局变量？

SQL Server本身没有直接禁用单个系统函数的权限配置，但可以通过以下两种方法实现对特定用户使用@@version的限制：

方法一：服务器级执行触发器拦截 #

通过创建服务器级触发器，实时检测用户执行的SQL语句，当特定用户执行包含@@version的操作时直接拦截并返回错误。

实现步骤： #

1. 创建服务器级触发器，代码示例：

CREATE TRIGGER BlockVersionCheck
ON ALL SERVER
FOR EXECUTE
AS
BEGIN
    DECLARE @sql NVARCHAR(MAX) = EVENTDATA().value('(/EVENT_INSTANCE/TSQLCommand/CommandText)[1]', 'NVARCHAR(MAX)')
    DECLARE @loginName NVARCHAR(128) = ORIGINAL_LOGIN()

    -- 指定需要限制的登录名，可扩展为查询用户列表
    IF @loginName = 'RestrictedUserLogin' AND CHARINDEX('@@VERSION', UPPER(@sql)) > 0
    BEGIN
        RAISERROR('无权执行此操作', 16, 1)
        ROLLBACK TRANSACTION
    END
END

2. 注意事项：
   • 需要具备ALTER ANY SERVER TRIGGER权限才能创建该触发器
   • 可通过维护一个限制用户表来支持批量用户，避免硬编码
   • 若用户使用加密SQL或动态SQL，可能存在拦截失效的情况
   • 高并发环境下需评估触发器对性能的影响

方法二：自定义函数覆盖（仅拦截非限定名调用） #

通过创建与@@version同名的用户定义函数，修改目标用户的默认Schema，使其优先调用自定义函数而非系统函数。

实现步骤： #

1. 创建自定义Schema及同名函数：

CREATE SCHEMA RestrictedSchema
GO

CREATE FUNCTION RestrictedSchema.@@version()
RETURNS NVARCHAR(MAX)
AS
BEGIN
    -- 返回错误提示或空值
    RAISERROR('无权查看版本信息', 16, 1)
    RETURN ''
END
GO

2. 修改目标用户的默认Schema：

ALTER USER RestrictedUser WITH DEFAULT_SCHEMA = RestrictedSchema
GO

3. 注意事项：
   • 用户若直接调用sys.@@version可绕过此限制，仅适用于非限定名调用场景
   • 需确保用户无权限修改自己的默认Schema

内容的提问来源于stack exchange，提问作者VsquezFelipe