如何在SQL Server中实现支持多accessId匹配的行级安全？

方案1：使用内置STRING_SPLIT（SQL Server 2016+） #

直接利用SQL Server内置字符串拆分函数，将会话上下文中的CSV格式ID列表拆分后匹配。

修改后的谓词函数：

CREATE FUNCTION [dbo].[AccessPredicate] 
    (@accessId int)
RETURNS TABLE
WITH SCHEMABINDING
AS
    RETURN 
        SELECT 1 AS AccessPredicateResult
        WHERE EXISTS (
            SELECT 1
            FROM STRING_SPLIT(CAST(SESSION_CONTEXT(N'accessIds') AS NVARCHAR(MAX)), ',')
            WHERE CAST(LTRIM(RTRIM(value)) AS int) = @accessId
        )

注意事项： #

• C#端设置会话上下文时，需将AccessID列表拼接为无多余空格的CSV字符串（如string.Join(",", allowedAccessIds)）
• 加入LTRIM(RTRIM)避免因字符串中的空格导致类型转换失败

方案2：使用JSON格式存储（SQL Server 2016+） #

相比CSV，JSON格式更规范，不易出现格式错误，尤其适合复杂场景。

函数修改： #

CREATE FUNCTION [dbo].[AccessPredicate] 
    (@accessId int)
RETURNS TABLE
WITH SCHEMABINDING
AS
    RETURN 
        SELECT 1 AS AccessPredicateResult
        WHERE EXISTS (
            SELECT 1
            FROM OPENJSON(CAST(SESSION_CONTEXT(N'accessIds') AS NVARCHAR(MAX)))
            WHERE CAST(value AS int) = @accessId
        )

C#端设置： #

将AccessID序列化为JSON数组字符串（如JsonSerializer.Serialize(allowedAccessIds)），再写入会话上下文：

using var command = new SqlCommand("SET SESSION_CONTEXT N'accessIds', @accessIdsJson", connection);
command.Parameters.AddWithValue("@accessIdsJson", jsonString);
command.ExecuteNonQuery();

方案3：自定义拆分函数（兼容SQL Server 2016以下版本） #

若使用旧版SQL Server，需创建支持SCHEMABINDING的自定义CSV拆分函数：

先创建拆分函数： #

CREATE FUNCTION [dbo].[SplitCSV]
(
    @csvString NVARCHAR(MAX),
    @delimiter CHAR(1)
)
RETURNS TABLE
WITH SCHEMABINDING
AS
RETURN
(
    WITH SplitCTE AS
    (
        SELECT 
            CAST(0 AS BIGINT) AS StartPos,
            CHARINDEX(@delimiter, @csvString) AS EndPos
        UNION ALL
        SELECT 
            EndPos + 1,
            CHARINDEX(@delimiter, @csvString, EndPos + 1)
        FROM SplitCTE
        WHERE EndPos > 0
    )
    SELECT
        CAST(SUBSTRING(@csvString, StartPos, CASE WHEN EndPos = 0 THEN LEN(@csvString) - StartPos + 1 ELSE EndPos - StartPos END) AS int) AS Value
    FROM SplitCTE
    WHERE StartPos <= LEN(@csvString)
)

修改谓词函数： #

CREATE FUNCTION [dbo].[AccessPredicate] 
    (@accessId int)
RETURNS TABLE
WITH SCHEMABINDING
AS
    RETURN 
        SELECT 1 AS AccessPredicateResult
        WHERE EXISTS (
            SELECT 1
            FROM [dbo].[SplitCSV](CAST(SESSION_CONTEXT(N'accessIds') AS NVARCHAR(MAX)), ',')
            WHERE Value = @accessId
        )

性能优化建议 #

• 控制会话上下文中存储的ID数量，过多ID会增加字符串解析开销
• 优先选择JSON方案，其解析性能优于自定义拆分函数，且格式容错性更强
• 避免在会话上下文中存储冗余空格或非法字符，减少函数内的格式处理逻辑

内容的提问来源于stack exchange，提问作者AskPete