Flask(pyodbc)用TRUSTED_CONNECTION=Yes连接MSSQL登录失败求助

问题根源 #

你遇到的核心问题是IIS应用池身份与当前登录用户身份不匹配：虽然能通过REMOTE_USER拿到当前用户，但数据库连接默认使用的是IIS应用池所在的服务器机器账户（DOMAIN\7A6AUSRV02$），而非当前登录的用户身份。

解决步骤 #

1. 启用IIS身份模拟 #

• 打开IIS管理器，找到你的Flask应用，进入身份验证面板，确保Windows身份验证已启用；右键Windows身份验证，选择「高级设置」，勾选「启用内核模式身份验证」。
• 进入模拟功能面板，设置为「启用」，并选择「通过身份验证的用户」，让应用以当前登录用户的身份访问资源。

2. 优化数据库连接配置 #

• 使用更兼容的最新ODBC驱动，同时保留集成身份验证配置，修改连接字符串：

  cnxn = pyodbc.connect("DRIVER={ODBC Driver 17 for SQL Server};SERVER=nameofmyserver;DATABASE=nameofmydb;Integrated Security=SSPI;")
  

  注：Integrated Security=SSPI与TRUSTED_CONNECTION=Yes功能一致，部分环境下兼容性更好。

3. 验证身份模拟生效 #

在路由中添加调试代码，确认当前运行身份与登录用户一致：

import os
from flask import request

@app.route('/check-auth')
def check_auth():
    remote_user = request.environ.get('REMOTE_USER')
    current_process_user = os.environ.get('USERNAME')
    return f"Remote User: {remote_user}<br>Process User: {current_process_user}"

若两者输出一致，说明身份模拟成功，数据库连接会使用当前登录用户的身份。

4. 查询用户有权限的存储过程 #

连接数据库成功后，执行以下SQL语句，即可列出当前用户拥有执行/控制权限的存储过程（含直接授权和角色继承的权限）：

SELECT 
    p.name AS ProcedureName,
    SCHEMA_NAME(p.schema_id) AS SchemaName
FROM 
    sys.procedures p
JOIN 
    sys.database_permissions dp ON p.object_id = dp.major_id
JOIN 
    sys.server_principals sp ON dp.grantee_principal_id = sp.principal_id
WHERE 
    sp.name = SUSER_SNAME()
    AND dp.permission_name IN ('EXECUTE', 'CONTROL')
UNION
-- 包含角色继承的权限
SELECT 
    p.name AS ProcedureName,
    SCHEMA_NAME(p.schema_id) AS SchemaName
FROM 
    sys.procedures p
JOIN 
    sys.database_permissions dp ON p.object_id = dp.major_id
JOIN 
    sys.database_role_members drm ON dp.grantee_principal_id = drm.role_principal_id
JOIN 
    sys.database_principals dp2 ON drm.member_principal_id = dp2.principal_id
WHERE 
    dp2.name = USER_NAME()
    AND dp.permission_name IN ('EXECUTE', 'CONTROL')
ORDER BY 
    SchemaName, ProcedureName;

5. 权限兜底排查 #

• 确认当前登录用户在SQL Server中存在对应的登录名和数据库用户，且拥有目标数据库的EXECUTE权限（或针对特定存储过程的权限）。
• 检查IIS应用池的身份账户，确保它拥有「模拟客户端进行身份验证」的权限（可在本地安全策略→本地策略→用户权限分配中配置）。

内容的提问来源于stack exchange，提问作者JockMack420