以OWNER身份执行的跨库触发器报错：服务器主体无法访问数据库

咱们先拆解下问题根源：当你在DatabaseA的触发器上用WITH EXECUTE AS OWNER时，触发器的执行上下文是DatabaseA的数据库级所有者身份，而非服务器级的登录账号。哪怕这个所有者同时是DatabaseB的dbo，跨数据库访问时，SQL Server不会自动将这个数据库级身份映射到目标库的对应身份——这就是报错的核心原因。

开启TRUSTWORTHY确实能绕开限制，但正如你所说，这会带来不必要的安全风险（相当于给DatabaseA的所有者开放了服务器级权限），所以咱们用更安全合规的方案来解决：

方案1：用证书签名触发器（官方推荐，安全优先） #

这是SQL Server官方认可的跨数据库模块访问解决方案，核心思路是给触发器签名，让它获得访问DatabaseB的专属权限，完全不需要依赖TRUSTWORTHY。

具体操作步骤： #

1. 在DatabaseA中创建证书

USE DatabaseA;
GO
CREATE CERTIFICATE TriggerCrossDB_Cert
    ENCRYPTION BY PASSWORD = 'YourStrongPassword@123'
    WITH SUBJECT = 'Certificate for cross-database trigger access';
GO

2. 备份证书到磁盘（用于在DatabaseB中导入）

BACKUP CERTIFICATE TriggerCrossDB_Cert
    TO FILE = 'D:\SQL_Certs\TriggerCrossDB_Cert.cer'
    WITH PRIVATE KEY (
        FILE = 'D:\SQL_Certs\TriggerCrossDB_Cert.pvk',
        ENCRYPTION BY PASSWORD = 'YourStrongPassword@123',
        DECRYPTION BY PASSWORD = 'YourStrongPassword@123'
    );
GO

注意：要确保SQL Server服务账号对指定的证书存储目录有读写权限，也可以换成你服务器上的其他合法路径。

3. 在DatabaseB中导入证书并创建对应用户

USE DatabaseB;
GO
CREATE CERTIFICATE TriggerCrossDB_Cert
    FROM FILE = 'D:\SQL_Certs\TriggerCrossDB_Cert.cer'
    WITH PRIVATE KEY (
        FILE = 'D:\SQL_Certs\TriggerCrossDB_Cert.pvk',
        DECRYPTION BY PASSWORD = 'YourStrongPassword@123'
    );
GO

CREATE USER TriggerCrossDB_User FROM CERTIFICATE TriggerCrossDB_Cert;
GO

4. 给证书用户授予DatabaseB目标表的插入权限

USE DatabaseB;
GO
GRANT INSERT ON dbo.MyOtherTable TO TriggerCrossDB_User;
GO

5. 用证书给DatabaseA中的触发器签名

USE DatabaseA;
GO
ADD SIGNATURE TO OBJECT::dbo.MyTrigger
    BY CERTIFICATE TriggerCrossDB_Cert
    WITH PASSWORD = 'YourStrongPassword@123';
GO

完成以上步骤后，再测试更新DatabaseA.dbo.MyTable的操作，触发器就能正常向DatabaseB插入数据了。

方案2：改用EXECUTE AS LOGIN（仅限特定场景） #

如果AUser是服务器级登录账号（不是仅存在于数据库中的用户），你可以修改触发器的EXECUTE AS上下文为登录名，而非数据库所有者：

ALTER TRIGGER "MyTrigger" ON "DatabaseA".dbo.MyTable 
WITH EXECUTE AS 'AUser' -- 这里用服务器登录名，不是数据库用户
AFTER UPDATE AS 
BEGIN 
    SET NOCOUNT ON; 
    INSERT INTO DatabaseB.dbo."MyOtherTable" (ColumnA) VALUES ('test'); 
END 
GO

注意：这个方案需要确保登录账号AUser在DatabaseB中有直接的插入权限（比如作为dbo或被单独授予INSERT权限）。但这种方式的安全性不如证书签名，因为登录账号的权限通常更广，一旦触发器被篡改，风险会更大。

为什么TRUSTWORTHY能解决但不推荐？ #

开启DatabaseA的TRUSTWORTHY后，SQL Server会信任该数据库的所有者拥有服务器级权限，允许它跨数据库访问。但这相当于给数据库所有者开了“超级权限”，如果DatabaseA被入侵，攻击者可以利用这个权限随意访问其他数据库，所以官方强烈建议仅在必要时使用，且配合严格的安全措施——显然你的场景完全不需要冒这个风险。

内容的提问来源于stack exchange，提问作者Nbody Nbody