执行ALTER USER...DISABLE时触发******sysadmin存储过程报错的原因分析

特定用户Main_user（默认数据库为db_A）执行以下SQL语句：

USE db_A
ALTER USER another_user DISABLE;

每次执行都会返回如下错误：

Msg 916, Level 14, State 2, Server ****, Procedure *****sysadmin, Line 32
The server principal Main_user is not able to access the database db_ZZZ under the current security context.

能看出这个******sysadmin存储过程在执行涉及db_ZZZ的代码，但该操作和ALTER USER语句本身无关。目前找不到这个存储过程（已排除触发器），也不清楚它和当前操作的关联逻辑，且Main_user是Wherescape RED的服务用户，暂时没有其他有权限的用户可用于测试。以下是可能的原因：

• 服务器级DDL触发器在起作用：虽然你排除了触发器，但可能是服务器范围的DDL触发器（不是单数据库级），当执行ALTER USER这类DDL操作时自动触发，调用了这个存储过程。可以执行SELECT * FROM sys.server_triggers查询所有服务器触发器，检查触发逻辑。
• 存储过程隐藏在系统库或被加密：这个******sysadmin可能存在于master、msdb等系统数据库中，或是加密存储的过程。可以在所有数据库（包括系统库）中执行SELECT name, is_encrypted FROM sys.procedures WHERE name LIKE '%sysadmin%'，加密的过程无法直接查看定义，但能确认是否存在。
• Wherescape RED的内置管控逻辑：Main_user是Wherescape RED的服务用户，该工具可能在数据库中部署了审计、权限管控类的扩展程序，当用户执行特定操作时自动触发关联逻辑，调用了涉及db_ZZZ的存储过程。可以检查Wherescape RED的配置，看是否开启了数据库操作的审计或自动管控规则。
• 上下文切换导致权限不足：存储过程******sysadmin可能在执行时使用了EXECUTE AS切换到其他安全上下文，而该上下文没有访问db_ZZZ的权限；或是Main_user执行该过程时的上下文被强制切换，导致访问db_ZZZ失败。
• 存储过程名被截断：错误信息里的******sysadmin可能是名称被截断后的结果，实际名称可能更长或带有特殊前缀/后缀。建议查询所有数据库的sys.procedures表，用模糊匹配查找类似名称的对象。

内容的提问来源于stack exchange，提问作者Aleix