MS SQL Server中SHOWPLAN权限安全风险及授权场景咨询

一、SHOWPLAN权限的安全风险到底是什么？ #

别小看SHOWPLAN权限，它可不是单纯用来帮你看执行计划的——如果授予不当，会带来不少安全隐患：

• 泄露数据库架构蓝图：执行计划里会清晰展示表、视图、索引的名称、列名，甚至表之间的关联关系。要是被别有用心的人拿到，相当于给了他们系统的完整地图，方便针对性构造攻击（比如精准的SQL注入）。
• 暴露敏感数据线索：如果查询涉及敏感表（比如用户密码表、财务数据表），执行计划会直接显示这些表的存在，还能通过统计信息里的行数、数据分布，推断出数据规模，甚至在某些场景下间接获取敏感数据片段。
• 助力恶意查询优化：拥有SHOWPLAN权限的用户可以查看自己构造的恶意查询的执行计划，从而优化攻击语句，让窃取数据或者破坏系统的效率更高。
• 跨库越权风险：如果给的是服务器级的SHOWPLAN相关权限（比如SHOWPLAN ALL），用户能看到整个服务器上所有数据库的执行计划，完全超出了预期的访问范围。

二、针对你的场景，SHOWPLAN权限该怎么配置？ #

你的情况很明确：这位非sysadmin人员只负责数据库#1的所有相关工作，那咱们就严格遵循最小权限原则来配置：

首先，绝对不要授予View Server State权限——这是服务器级权限，会让他看到整个服务器上10个数据库的系统状态和执行计划，完全超出了他的职责范围，风险太大。

然后，关于SHOWPLAN权限：

• 只在他负责的数据库#1（包括对应的测试/生产库，如果是两个独立数据库的话）上授予数据库级的SHOWPLAN权限，不要给服务器级的。这个权限刚好能让他查看该库内查询的执行计划，满足查询优化、索引设计、调试查询的需求。
• 如果他需要查看数据库的统计信息（优化查询和索引时经常需要），可以额外给目标数据库授予VIEW DATABASE STATE权限——这个权限是数据库级的，只会让他看到该库的状态信息，不会涉及其他库。

简单说：给他刚好能完成工作的权限，不多给一点多余的。这样既支持他的日常工作，又把安全风险降到最低。

内容的提问来源于stack exchange，提问作者user45867