Windows Forms应用如何基于Windows用户的SQL数据库角色实现身份验证

下面是几种不同实现思路的方案，各有适用场景：

方案1：使用系统视图查询角色归属（更透明的角色校验） #

如果你还是需要明确校验角色归属而不是实际权限，可以用系统视图替代IS_MEMBER函数，支持查询嵌套角色、直接/间接归属的情况：

string checkSql = @"
SELECT 1 
FROM sys.database_role_members drm
JOIN sys.database_principals roles ON drm.role_principal_id = roles.principal_id
JOIN sys.database_principals members ON drm.member_principal_id = members.principal_id
WHERE roles.name = 'db_datareader' 
AND members.name = CURRENT_USER";
using (SqlCommand com = new SqlCommand(checkSql, con))
{
    con.Open();
    var res = com.ExecuteScalar();
    if (res == null)
    {
        Application.Exit();
    }
    txtHeader = "Welcome!";
}

优点：可以扩展同时校验多个角色，能获取更详细的权限归属链路。

方案2：校验实际读权限（更贴合需求的校验逻辑） #

你的原始需求本质是确认用户有数据库读权限，而不是必须属于db_datareader角色（存在用户直接被授予SELECT权限、不属于该角色但权限满足的情况），可以直接执行最小读操作校验：

using (SqlCommand com = new SqlCommand("SELECT TOP 1 1 FROM sys.tables", con))
{
    try
    {
        con.Open();
        com.ExecuteNonQuery();
        txtHeader = "Welcome!";
    }
    catch (SqlException)
    {
        // 权限不足导致执行失败，直接退出
        con.Close();
        Application.Exit();
    }
}

优点：不会误杀有读权限但不在db_datareader角色的用户，校验结果更符合实际业务需要。

方案3：前置Windows域组校验（无需连接数据库的轻量校验） #

如果你的权限是通过域组统一管理：所有有数据库读权限的用户都属于指定的Windows域组，且该域组已经被加入SQL的db_datareader角色，可以在校验阶段先查本地用户的域组归属，不需要连接数据库：

using System.Security.Principal;

// 替换为你公司对应的域组名称
string requiredGroupName = "YourDomain\\DBReadAccessGroup";
WindowsIdentity user = WindowsIdentity.GetCurrent();
WindowsPrincipal principal = new WindowsPrincipal(user);
bool hasAccess = principal.IsInRole(requiredGroupName);
if (!hasAccess)
{
    Application.Exit();
}
// 校验通过再正常初始化数据库连接

优点：校验速度快，不需要发起数据库连接，适合内部域环境下的批量权限管控场景。

方案4：数据库侧登录触发器（统一权限管控，无需应用层编码） #

如果多个应用都需要这套权限校验逻辑，可以直接在SQL Server侧配置登录触发器，权限不足的用户直接被数据库断开连接：

CREATE TRIGGER CheckReadPermission ON ALL SERVER
FOR LOGON
AS
BEGIN
    IF USER_ID() IS NOT NULL 
    AND IS_MEMBER('db_datareader') = 0
    BEGIN
        ROLLBACK;
    END
END;

优点：所有连接该数据库的应用都自动复用这套校验逻辑，权限修改不需要重新发布应用，管控更统一。

内容的提问来源于stack exchange，提问作者variable