SQL Server中SUSER_SNAME返回AD组名而非用户名的场景有哪些？

• 仅AD组作为登录主体，无单独用户登录项：如果SQL Server实例上只创建了AD组的登录凭据，没有为对应AD用户创建显式的登录映射，用户通过组权限接入实例时，SUSER_SNAME()会直接返回权限对应的AD组名，而非用户个人账号。
• 触发了EXECUTE AS组的上下文切换：如果触发器执行前会话执行过EXECUTE AS语句，且切换的安全上下文为AD组身份，SUSER_SNAME()会返回当前执行上下文对应的组名。你可以在触发器中同时记录ORIGINAL_LOGIN()的返回值做对比，该函数不受上下文切换影响，始终返回会话最初发起的用户名。
• 跨域/林信任场景下SID解析失败：当用户属于跨域AD组，SQL Server所在域与用户域的信任关系临时异常、或全局编录服务不可用时，SQL Server无法将用户SID解析为对应的个人用户名，会降级返回该用户用于权限校验的AD组名。
• 登录项SID绑定错误或AD侧SID变更未同步：如果手动创建登录项时错误将AD组的SID绑定到用户登录名，或是AD侧对用户、组的SID做了调整后未同步到SQL Server，SID解析阶段会直接返回匹配到的组名。
• 使用关联AD组权限的应用角色：当应用激活了绑定AD组权限的应用角色后，会话安全上下文会切换为应用角色关联的组身份，此时调用SUSER_SNAME()也会返回组名。

排查建议：可以先在触发器中同时记录SUSER_SNAME()、ORIGINAL_LOGIN()、SUSER_SID()三个字段，拿到异常记录后对比SID值，即可快速定位是上下文切换问题还是SID解析问题。

内容的提问来源于stack exchange，提问作者Montgomery 'monty' Jones