已授予存储过程执行权限，是否还需授予数据库权限？

你遇到的问题核心是SQL Server的权限规则：当存储过程访问其他数据库的对象时，默认情况下调用者需要直接拥有目标对象的权限。但完全不需要给Web API账号授予DB1/DB2的数据库级权限，通过所有权链或模块签名就能在遵循最小权限原则的前提下解决问题，符合安全专家的要求。

方案1：利用所有权链（简单，有前提） #

• 前提：DB1中的存储过程所有者，与DB2中APP_USERS表的所有者是同一个SQL Server登录账号（比如都是sa或同一个自定义登录）
• 原理：SQL Server的所有权链会让调用者的EXECUTE权限自动传递到同所有者的跨库对象上，无需额外给表权限
• 操作步骤：
  1. 检查当前所有者：

     -- 查看DB1目标存储过程的所有者
     SELECT name, SUSER_NAME(sid) AS owner FROM DB1.sys.procedures WHERE name = '你的存储过程名';
     -- 查看DB2中APP_USERS表的所有者
     SELECT name, SUSER_NAME(sid) AS owner FROM DB2.sys.tables WHERE name = 'APP_USERS';
     

  2. 若所有者不同，修改为同一个登录账号：

     -- 修改DB1存储过程所有者
     ALTER AUTHORIZATION ON OBJECT::DB1.dbo.你的存储过程名 TO [共用的登录账号名];
     -- 修改DB2表所有者
     ALTER AUTHORIZATION ON OBJECT::DB2.dbo.APP_USERS TO [共用的登录账号名];
     

  3. 确保Web API账号仅拥有DB1存储过程的EXECUTE权限，重新测试即可

方案2：模块签名（灵活，无所有者限制） #

这是更通用的方案，不受跨库对象所有者的限制，核心是通过证书给存储过程授权，让存储过程以证书用户的身份访问DB2的表，调用者仅需存储过程的EXECUTE权限。

具体操作代码：

-- 步骤1：在DB1中创建用于签名的证书
USE DB1;
CREATE CERTIFICATE CrossDBProcCert
WITH SUBJECT = '用于跨库存储过程访问的证书';

-- 步骤2：备份证书到本地文件（自行调整路径，确保SQL服务账号有读写权限）
BACKUP CERTIFICATE CrossDBProcCert
TO FILE = 'D:\SQL_Certs\CrossDBProcCert.cer'
WITH PRIVATE KEY (FILE = 'D:\SQL_Certs\CrossDBProcCert.pvk', ENCRYPTION BY PASSWORD = 'StrongPass123!');

-- 步骤3：在DB2中还原证书
USE DB2;
CREATE CERTIFICATE CrossDBProcCert
FROM FILE = 'D:\SQL_Certs\CrossDBProcCert.cer'
WITH PRIVATE KEY (FILE = 'D:\SQL_Certs\CrossDBProcCert.pvk', DECRYPTION BY PASSWORD = 'StrongPass123!');

-- 步骤4：在DB2中创建证书用户并授予表权限
CREATE USER CrossDBProcUser FROM CERTIFICATE CrossDBProcCert;
GRANT SELECT ON dbo.APP_USERS TO CrossDBProcUser;

-- 步骤5：在DB1中用证书给目标存储过程签名
USE DB1;
ADD SIGNATURE TO dbo.你的存储过程名 BY CERTIFICATE CrossDBProcCert WITH PASSWORD = 'StrongPass123!';

关键安全修正 #

你的Web API登录账号拥有dbcreator服务器角色，这个权限严重超标——dbcreator允许创建、修改、删除任意数据库，对于仅需调用存储过程的账号来说是极高的安全风险，必须立即移除该角色，仅保留public服务器角色即可。

内容的提问来源于stack exchange，提问作者Gabic