SQL Server连接Excel限制非授权用户刷新数据方案咨询

该需求完全可以实现，核心防护逻辑需以SQL Server端原生权限控制为不可绕开的底线，搭配Excel端的前置校验优化交互体验，两层配合即可满足授权用户正常刷新、非授权用户刷新被拦截的要求，完全适配当前SQL Server 2008向2019迁移的环境。

第一层：SQL Server端权限配置（必做，无法绕过） #

不要在Excel连接中存储固定的数据库账号密码，直接基于Windows域账号做权限管控，从数据库层面阻断非授权用户的访问：

• 为所有需要开放刷新权限的高管创建Windows身份验证的SQL Server登录名，直接绑定其日常办公使用的域账号，无需额外设置密码：

CREATE LOGIN [你的域名\高管域账号] FROM WINDOWS;

• 将登录名映射为业务库内的用户，仅授予其访问指定视图、存储过程的最小权限，不开放多余的表访问权限：

-- 切换到你的业务数据库
USE 你的业务库名;
GO
-- 创建库用户映射到登录名
CREATE USER [你的域名\高管域账号] FOR LOGIN [你的域名\高管域账号];
GO
-- 授予指定视图的查询权限
GRANT SELECT ON 你的业务视图名 TO [你的域名\高管域账号];
GO
-- 授予指定存储过程的执行权限
GRANT EXECUTE ON 你的存储过程名 TO [你的域名\高管域账号];
GO

• Excel中的数据连接选择「使用当前Windows登录凭据」的认证方式，不保存任何账号密码。此时非授权用户触发刷新时，SQL Server会直接返回权限不足错误，从根源上阻止非授权用户拉取新数据。

第二层：Excel端VBA前置拦截（可选，优化交互） #

如果需要自定义拦截提示、甚至直接阻止非授权用户触发刷新动作，可以通过VBA做前置校验，注意该层仅为体验优化，不能替代数据库端的权限配置：

• 将Excel文件另存为启用宏的格式.xlsm
• 按Alt+F11打开VBA编辑器，双击左侧工程栏中的ThisWorkbook模块，粘贴以下代码：

' 配置授权域账号列表，用英文逗号分隔
Const ALLOWED_ACCOUNTS = "域名\zhangsan,域名\lisi,域名\wangwu"
Private Sub Workbook_BeforeRefresh(Cancel As Boolean)
    Dim currentAccount As String
    currentAccount = Environ("USERDOMAIN") & "\" & Environ("USERNAME")
    ' 校验当前用户是否在授权列表
    If InStr(1, ALLOWED_ACCOUNTS, currentAccount, vbTextCompare) = 0 Then
        Cancel = True ' 终止刷新动作
        MsgBox "访问被拒绝：您无该文件的数据刷新权限，请联系管理员申请。", vbCritical, "权限校验失败"
        ' 若需要非授权用户触发刷新时直接关闭文件，可取消下一行的注释
        ' ThisWorkbook.Close SaveChanges:=False
    End If
End Sub

• 为VBA工程设置密码保护，防止普通用户随意修改代码：在VBA编辑器顶部菜单选择「工具」-「VBAProject 属性」-「保护」标签页，勾选「查看时锁定工程」，设置强密码后保存文件即可。

• 禁止在Excel数据连接字符串中硬编码SQL账号密码，即便加了VBA保护，恶意用户也可以直接用文本编辑器读取xlsm源文件提取明文密码，造成数据库权限泄露。
• 不要仅依赖VBA做权限控制，VBA保护仅能拦截普通用户，有技术基础的用户可轻易绕过VBA校验，SQL Server端的权限配置是必须落地的核心防线，即便VBA被破解，非授权用户依然无法从数据库拉取数据。
• 该套权限逻辑同时兼容SQL Server 2008与2019版本，迁移过程中无需调整权限规则，后续新增授权用户时直接在SQL Server端添加对应账号权限即可，无需重复修改分发Excel文件，维护成本极低。

内容的提问来源于stack exchange，提问作者Akshay Shirke