如何让MS SQL Server仅对指定登录可见可访问，禁止其他工具操作？

要实现仅让指定应用访问数据库、完全阻止其他工具（如SSMS）查看或操作的目标，需要从专用账号、权限控制、连接限制、网络隔离四个维度入手，以下是具体步骤：

1. 创建应用专属的登录账号 #

不要使用sa或通用账号，为每个应用创建独立的专用登录，严格遵循最小权限原则：

-- 在master库创建登录
USE MASTER;
CREATE LOGIN [App1SpecificLogin] WITH PASSWORD = 'YourStrongPassword@123', CHECK_POLICY = ON;

-- 对应数据库创建用户并授予必要权限（仅给应用需要的权限，不要过度授权）
USE [YourDatabase1];
CREATE USER [App1SpecificUser] FOR LOGIN [App1SpecificLogin];
-- 示例：授予读写权限
ALTER ROLE db_datareader ADD MEMBER [App1SpecificUser];
ALTER ROLE db_datawriter ADD MEMBER [App1SpecificUser];
-- 如果需要执行存储过程，按需添加：ALTER ROLE db_executor ADD MEMBER [App1SpecificUser];

2. 完全隐藏数据库，禁止非授权登录查看 #

通过权限设置，让除了专用登录外的所有账号无法看到数据库：

USE MASTER;
-- 撤销public角色的默认查看数据库权限
REVOKE VIEW ANY DATABASE FROM PUBLIC;
-- 拒绝所有公共登录查看数据库
DENY VIEW ANY DATABASE TO PUBLIC;
-- 给专用登录授权查看指定数据库
GRANT VIEW ANY DATABASE TO [App1SpecificLogin];
-- 将数据库所有者设为专用登录，确保其能正常访问
ALTER AUTHORIZATION ON DATABASE::[YourDatabase1] TO [App1SpecificLogin];

执行后，非专用登录在SSMS中会看不到该数据库，甚至无法通过名称直接访问。

3. 限制连接来源，阻止非应用工具连接 #

使用登录触发器检查连接的应用程序名称，仅允许指定应用通过专用登录连接：

USE MASTER;
CREATE TRIGGER BlockNonAppConnections
ON ALL SERVER WITH EXECUTE AS 'sa'
FOR LOGON
AS
BEGIN
    -- 仅针对专用登录做检查，其他登录直接拒绝（可选）
    IF ORIGINAL_LOGIN() = 'App1SpecificLogin'
    -- 替换为你的应用连接字符串中指定的Application Name
    AND APP_NAME() NOT LIKE '%YourApp1OfficialName%'
    BEGIN
        ROLLBACK; -- 拒绝非应用的连接请求
    END
END;

注意：需要在应用的连接字符串中明确设置Application Name参数，例如：Server=YourSQLServer;Database=YourDatabase1;User Id=App1SpecificLogin;Password=xxx;Application Name=YourApp1OfficialName;

4. 加固服务器层面的访问限制 #

• 禁用高权限通用账号：禁用sa账号，或设置极其复杂的密码并移除所有数据库权限。
• 关闭不必要的协议：在SQL Server配置管理器中，关闭Named Pipes、VIA等非必需协议，仅保留应用使用的协议（如TCP/IP）。
• 防火墙隔离：在SQL Server所在服务器的防火墙中，仅允许应用所在两台电脑的IP地址访问SQL Server默认端口（1433）。

验证效果 #

• 用其他登录账号（如测试新建的普通登录）打开SSMS，看不到目标数据库，尝试直接连接也会提示权限不足。
• 用专用登录通过SSMS连接时，会被登录触发器拒绝（因为APP_NAME是SSMS）。
• 只有应用使用带指定Application Name的连接字符串时，才能正常访问数据库。

内容的提问来源于stack exchange，提问作者Developer