能否用服务器级权限模拟数据库级EXECUTE权限（最小权限原则）

首先明确：不存在直接的服务器级权限可以精准替代数据库级的EXECUTE对象权限——SQL Server的权限模型中，EXECUTE是针对数据库内对象的细粒度权限，而服务器级权限主要管控服务器范围的操作（如创建登录、服务器配置修改等），没有直接对应单个存储过程执行的服务器级权限。不过可以通过以下两种更优的方案解决权限被定期清除的问题：

方案1：服务器级DDL触发器自动恢复权限 #

利用服务器级触发器不会被清除的特性，创建触发器监控权限变更事件，自动恢复目标存储过程的EXECUTE权限，无需手动操作：

CREATE TRIGGER Restore_SP_Execute_Permissions
ON ALL SERVER
FOR DROP_PERMISSION, ALTER_PERMISSION
AS
BEGIN
    SET NOCOUNT ON;
    -- 仅处理目标数据库的权限变更
    IF EVENTDATA().value('(/EVENT_INSTANCE/DatabaseName)[1]', 'nvarchar(128)') = 'certain'
    BEGIN
        USE certain;
        -- 重新授予目标用户存储过程执行权限
        GRANT EXECUTE ON certain.storeProcedure TO [user];
    END
END;

• 这个触发器会在任何数据库权限被删除或修改时触发，当检测到目标数据库certain的权限变更时，自动重新执行授权语句。
• 触发器是服务器级对象，不会被定期清除数据库权限的机制影响。

方案2：创建专用权限角色+服务器级权限维护角色（次优） #

如果不想使用触发器，可通过创建专用数据库角色，并利用服务器级权限确保角色权限不被清除：

1. 在目标数据库创建仅包含EXECUTE权限的自定义角色：

   USE certain;
   CREATE ROLE [SP_Execute_Role];
   GRANT EXECUTE ON certain.storeProcedure TO [SP_Execute_Role];
   ALTER ROLE [SP_Execute_Role] ADD MEMBER [user];
   

2. 为目标用户对应的服务器级登录授予**ALTER ANY ROLE服务器级权限**——但注意：这个权限允许登录修改任何数据库的角色成员，权限范围略宽，仅在无法使用触发器的场景下考虑。

不推荐的方案 #

避免授予ALTER DATABASE或CONTROL SERVER这类宽范围权限，它们会让用户获得远超执行存储过程所需的权限，违背最小权限原则。

内容的提问来源于stack exchange，提问作者Mitchell Mastromonaco