Azure SQL配置动态数据掩码后SSMS查询文本/XML/JSON列未生效问题

核心原因：登录账号权限过高 #

90%以上的此类问题都不是掩码规则配置错误，而是你当前在SSMS中使用的登录账号自带查看未掩码数据的权限，不需要手动加入排除用户列表，这类账号包括：

• Azure SQL服务器管理员账号、Azure AD租户管理员账号
• 映射到数据库db_owner、db_securityadmin角色的数据库用户
• 被授予CONTROL、ALTER ANY MASK、VIEW SERVER STATE、UNMASK权限的用户
  以上账号默认就可以查看所有原始数据，动态掩码规则不会对这类高权限账号生效。

你可以执行以下SQL快速校验当前账号的权限：

SELECT 
 IS_SRVROLEMEMBER('sysadmin') AS 是否为系统管理员,
 IS_MEMBER('db_owner') AS 是否为数据库所有者,
 HAS_PERMISSION_BY_NAME(NULL, 'ALTER ANY MASK') AS 是否有掩码配置权限,
 HAS_PERMISSION_BY_NAME(NULL, 'UNMASK') AS 是否有查看未掩码数据权限

只要上述任意一列返回值为1，你当前账号就不受掩码规则限制，查询时会直接返回原始数据。 #

功能限制导致的不生效 #

动态数据掩码不是所有数据类型都支持，你提到的两类特殊列存在明确的功能边界：

• XML类型列完全不支持原生动态掩码：无论配置什么规则，XML列都不会触发脱敏，这类列的脱敏需求只能通过自定义视图、行级安全函数或者查询时手动处理的方式实现。
• JSON存储列不会自动解析结构：如果你的JSON内容是存在NVARCHAR/VARCHAR这类字符串列中，动态掩码只会把整列当作普通字符串处理，不会识别JSON内部的键值对做定向脱敏；如果你配置的掩码规则和字符串长度、格式不匹配，就会出现看起来完全没生效的情况。比如给长度只有5的字符串配置partial(3, "****", 3)的部分掩码，前缀+后缀要暴露的字符数已经超过字符串总长度，就会直接返回原始内容。

快速验证掩码规则是否正常 #

你不需要换账号登SSMS，直接在当前查询窗口执行以下语句，用最低权限的测试用户身份验证即可：

-- 创建无额外权限的测试用户
CREATE USER MaskTestUser WITHOUT LOGIN;
-- 仅给测试用户授予目标表的查询权限
GRANT SELECT ON 你的目标表名 TO MaskTestUser;

-- 切换到测试用户上下文执行查询
EXECUTE AS USER = 'MaskTestUser';
SELECT TOP 1000 * FROM 你的目标表名;
-- 切回原账号上下文
REVERT;

-- 测试完成后可以删除测试用户
DROP USER MaskTestUser;

如果上述查询返回了脱敏后的数据，说明你的掩码规则本身配置没有问题，之前看不到脱敏效果只是因为使用的账号权限过高。如果测试查询依然返回原始数据，再检查普通文本列的掩码函数是否匹配数据格式：比如email()掩码只会对符合邮箱格式的字符串生效，给普通姓名、手机号列配置邮箱掩码就不会触发预期的脱敏效果。

另外有个低概率问题：配置完掩码规则后如果一直复用SSMS中之前打开的旧查询连接，可能存在权限缓存，关闭所有查询窗口新建连接再查询即可。 #

内容的提问来源于stack exchange，提问作者Roleen