配置db_datareader角色的Azure SQL用户无法读取部分特定表数据

场景前提 #

你使用Azure SQL管理员账号在指定库中执行以下命令创建了普通用户：

CREATE USER myuser WITH PASSWORD = '<pwd>'
ALTER ROLE [db_datareader] ADD MEMBER [myuser]

使用myuser账号登录数据库后，可正常查询绝大多数表的数据，查询部分特定表时无权限报错但仅返回0行，SSMS中可见这些表的表名；使用管理员账号查询同表可正常返回数据。

根因及修复方法 #

• 行级安全(RLS)策略拦截
  这是该场景下最常见的原因。行级安全是Azure SQL内置的访问控制功能，可基于预设规则对表的行数据按当前登录用户身份做过滤，无符合条件的行时就会返回空结果且不会抛出权限类错误。
  排查步骤：
  用管理员账号执行以下SQL，检查目标表是否绑定了RLS策略：

  SELECT 
      sp.name AS policy_name,
      t.name AS table_name,
      spd.predicate_definition
  FROM sys.security_policies sp
  INNER JOIN sys.security_predicates spd 
      ON sp.object_id = spd.policy_id
  INNER JOIN sys.tables t 
      ON spd.target_object_id = t.object_id
  WHERE t.name = N'此处替换为你遇到问题的表名'
  

  修复方案：

  1. 若策略是业务所需，调整策略规则将myuser纳入允许访问的范围即可
  2. 若需要让myuser跳过所有RLS过滤，可授予对应权限：

  GRANT BYPASS RLS POLICY TO myuser;
  

  注意：BYPASS RLS POLICY属于高权限配置，会跳过所有行级安全规则，仅在业务明确需要的场景下授予

• 默认Schema匹配异常
  若查询时未指定表所属Schema，且myuser的默认Schema与目标表所属Schema不一致，可能出现查询到同名称空表的问题。
  排查步骤：
  用myuser账号执行以下SQL，确认表的完整限定名和返回结果：

  -- 替换为实际的Schema名、表名
  SELECT COUNT(*) FROM [Schema名].[表名]
  

  修复方案：

  1. 查询时统一指定表的完整限定名
  2. 调整myuser的默认Schema为目标表所属Schema：

  ALTER USER myuser WITH DEFAULT_SCHEMA = [目标Schema名]
  

内容的提问来源于stack exchange，提问作者Dhiraj