SQL Server中AD组权限覆盖个人用户权限的技术咨询

首先明确核心原因：SQL Server中DENY权限优先级高于所有GRANT权限，包括通过db_owner角色获得的CONTROL数据库权限。只要你所属的AD组被DENY了某张表的SELECT权限，这个限制会覆盖你的个人角色权限，导致你无法查看该表。

以下是两种可行的解决方法，无需修改AD组的现有权限：

方法一：利用所有权链创建视图 #

这是最便捷的方案，通过创建视图绕过表的权限限制：

1. 以db_owner身份创建对应表的视图：

   CREATE VIEW vw_your_table AS SELECT * FROM table_name;
   

2. 给你的个人用户授予该视图的SELECT权限：

   GRANT SELECT ON vw_your_table TO "DOMAIN\your_user_account";
   

3. 之后你可以直接查询视图vw_your_table获取表数据，而AD组的其他成员因为没有视图的访问权限，依然无法查看该表内容。

原理：SQL Server的所有权链规则规定，如果视图和底层表属于同一个所有者，用户只需拥有视图的访问权限即可查询，无需验证对底层表的权限，从而绕过AD组的DENY限制。

方法二：使用EXECUTE AS临时切换身份 #

如果你不想创建视图，可以每次查询时临时切换到自己的个人身份上下文（默认已具备IMPERSONATE自身的权限）：

EXECUTE AS USER = 'DOMAIN\your_user_account';
SELECT * FROM table_name;
REVERT; -- 切换回原身份

这种方法适合临时查询，但每次操作都需要执行切换语句，不如视图方案便捷。

内容的提问来源于stack exchange，提问作者dsbbsd9