Azure SQL配db_datareader/db_datawriter仍报对象不存在或无权限错误

此类报错基本来自两个和自定义架构强相关的常见认知偏差：

• 内置数据库角色db_datareader、db_datawriter的默认读写权限不会自动覆盖用户新建的自定义架构。这两个角色的权限实际继承自public角色在各架构上的默认授权，新建自定义架构时，系统不会默认给public角色授予该架构下的读写权限，因此即使是这两个角色的成员，也默认没有自定义架构下的表访问权限。
• EF Core如果没有显式配置实体映射的目标架构，生成SQL语句时会默认拼接dbo.前缀寻址，直接找错架构位置，触发对象不存在的报错。

按顺序排查可以快速定位问题：

• 第一步先排除对象不存在的低级错误：用数据库管理员账号（AAD管理员、SQL Server管理员账号）连接实例，执行以下SQL确认表的实际存在位置，替换占位符为你的实际表名即可：

SELECT SCHEMA_NAME(schema_id) AS TableSchema, name AS TableName 
FROM sys.tables 
WHERE name = '<TABLE_NAME>'

如果查询结果为空，说明EF Core迁移执行异常，表没有被正确创建到目标自定义架构下；如果返回的架构名和你预期的自定义架构不一致，说明迁移时的架构配置错误。

• 第二步验证托管标识的实际有效权限：执行以下SQL查询托管标识在各架构上的实际授权，替换占位符为你的系统分配托管标识对应的数据库用户名：

SELECT dp.permission_name, dp.state_desc, s.name AS SchemaName, o.name AS ObjectName
FROM sys.database_permissions dp
JOIN sys.database_principals dpr ON dp.grantee_principal_id = dpr.principal_id
LEFT JOIN sys.schemas s ON dp.major_id = s.schema_id
LEFT JOIN sys.objects o ON dp.major_id = o.object_id
WHERE dpr.name = '<YOUR_MI_USERNAME>'

如果查询结果中没有目标自定义架构对应的SELECT、INSERT、UPDATE、DELETE授权记录，就坐实是权限范围未覆盖自定义架构的问题。

• 第三步检查EF Core配置：确认实体类的[Table]特性是否正确填写了自定义架构名，或者上下文的OnModelCreating方法中是否配置了正确的默认架构，避免EF Core生成SQL时默认寻址dbo架构。

根据你的实际场景选对应方案即可：

• 生产环境推荐（最小权限原则）：单独给托管标识授予目标自定义架构的读写权限，执行以下SQL，替换占位符为实际值即可：

-- 如果还没为托管标识创建对应的数据库用户，先执行这一句，<MI_DISPLAY_NAME>填Azure资源系统托管标识的显示名
CREATE USER [<MI_DISPLAY_NAME>] FROM EXTERNAL PROVIDER;
-- 授予自定义架构下的读权限
GRANT SELECT ON SCHEMA::<YOUR_CUSTOM_SCHEMA_NAME> TO [<MI_DISPLAY_NAME>];
-- 授予自定义架构下的写权限
GRANT INSERT, UPDATE, DELETE ON SCHEMA::<YOUR_CUSTOM_SCHEMA_NAME> TO [<MI_DISPLAY_NAME>];

如果业务逻辑需要EF Core在运行时自动执行迁移、建表等DDL操作，可以额外给架构授予ALTER权限，普通业务读写场景不需要加：
GRANT ALTER ON SCHEMA::<YOUR_CUSTOM_SCHEMA_NAME> TO [<MI_DISPLAY_NAME>];

• 测试环境快速验证（不推荐生产使用）：如果不想单独配置架构权限，可以临时把托管标识加入db_owner角色快速验证问题，该角色拥有全库所有权限，生产环境使用会带来越权风险：
  ALTER ROLE db_owner ADD MEMBER [<MI_DISPLAY_NAME>];
• EF Core配置修正：在上下文的OnModelCreating方法中添加默认架构配置，避免默认寻址dbo：

protected override void OnModelCreating(ModelBuilder modelBuilder)
{
    modelBuilder.HasDefaultSchema("<YOUR_CUSTOM_SCHEMA_NAME>");
    // 其余原有模型配置
}

内容的提问来源于stack exchange，提问作者baouss