如何在SQL Server 2014中实现行级安全？解决视图权限问题

嘿，这个问题我之前帮不少人解决过——SQL Server 2014确实没有2016及以后版本的原生行级安全（Row-Level Security）功能，但完全有可行的替代方案来实现用户只能查看特定区域数据的需求，而且能解决你遇到的「用户无底层表权限就访问不了视图」的问题。下面给你详细讲两个最常用的靠谱方案：

方案一：利用所有权链+过滤视图（最简单直接） #

SQL Server有个非常实用的「所有权链」特性：如果视图和它依赖的底层表拥有者是同一个账号（比如都是dbo），那么只要给用户授予视图的SELECT权限，用户不需要底层表的任何权限就能访问视图——这刚好能解决你之前的权限问题。

具体步骤：

1. 统一视图和底层表的所有者（如果不一致的话）：

-- 修改表的所有者为dbo
ALTER AUTHORIZATION ON OBJECT::[YourMultiRegionTable] TO dbo;
-- 修改视图的所有者为dbo
ALTER AUTHORIZATION ON OBJECT::[RegionA_View] TO dbo;

2. 确保视图的过滤逻辑正确，只返回对应区域的数据：

CREATE VIEW [RegionA_View]
AS
SELECT * FROM [YourMultiRegionTable]
WHERE Region = 'RegionA'; -- 替换为你的区域标识

3. 给对应区域的用户授予视图的查询权限：

GRANT SELECT ON [RegionA_View] TO [UserForRegionA];

这样用户登录后只能访问自己区域的视图，完全碰不到底层表，也不会出现权限不足的报错。

方案二：用EXECUTE AS存储过程（适合复杂场景） #

如果所有权链的条件满足不了（比如视图和表必须分属不同所有者），或者需要更灵活的权限控制，可以用带EXECUTE AS的存储过程来实现：

具体步骤：

1. 创建以表所有者身份执行的存储过程，内置区域过滤逻辑：

CREATE PROCEDURE [GetRegionAData]
WITH EXECUTE AS OWNER -- 以表的拥有者身份访问底层数据
AS
BEGIN
    SET NOCOUNT ON;
    SELECT * FROM [YourMultiRegionTable]
    WHERE Region = 'RegionA';
END;

2. 给区域用户授予存储过程的执行权限：

GRANT EXECUTE ON [GetRegionAData] TO [UserForRegionA];

用户执行这个存储过程就能拿到自己区域的数据，同样不需要底层表的权限，因为EXECUTE AS让存储过程以拥有者的身份访问表。

额外优化技巧 #

如果你的用户账号和区域有对应关系（比如用户账号是User_RegionA），可以动态匹配过滤条件，不用为每个区域单独建视图/存储过程：

-- 视图示例：自动提取用户账号中的区域标识
CREATE VIEW [UserSpecificRegionView]
AS
SELECT * FROM [YourMultiRegionTable]
WHERE Region = REPLACE(SUSER_SNAME(), 'User_', '');

内容的提问来源于stack exchange，提问作者vignesh