跨数据库权限链对sa/dbo所有对象是否生效？权限配置异常求助

我来帮你排查这个跨库视图权限的问题——这种情况我之前也碰到过，虽然你已经开启了DB_CHAINING，但还有几个容易忽略的细节没做到位，导致权限验证失败。下面一步步来解决：

1. 确认跨库所有权链的核心前提是否满足 #

首先再确认两个数据库的DB_CHAINING确实处于启用状态（有时候可能执行命令时没生效，或者有其他配置覆盖）：

-- 检查DB_CHAINING状态
SELECT name, is_db_chaining_on 
FROM sys.databases 
WHERE name IN ('dbSafe', 'dbRestricted');

如果返回的is_db_chaining_on不是1，执行以下命令开启：

ALTER DATABASE dbSafe SET DB_CHAINING ON;
ALTER DATABASE dbRestricted SET DB_CHAINING ON;

2. 验证对象所有者的一致性 #

跨库所有权链生效的关键条件是：源对象（dbSafe中的视图）的所有者和目标对象（dbRestricted中的表）的所有者必须是同一个服务器级登录主体。
你提到两个库都由SA所有，对象都隶属于dbo架构，那需要确认dbo对应的登录确实是同一个（这里应该是SA，不过还是验证下更稳妥）：

-- 检查dbSafe中视图的所有者
USE dbSafe;
SELECT 
    name AS view_name,
    USER_NAME(principal_id) AS view_owner,
    SUSER_SNAME((SELECT sid FROM sys.database_principals WHERE name = USER_NAME(principal_id))) AS linked_login
FROM sys.views
WHERE name = '你的视图名';

-- 检查dbRestricted中表的所有者
USE dbRestricted;
SELECT 
    name AS table_name,
    USER_NAME(principal_id) AS table_owner,
    SUSER_SNAME((SELECT sid FROM sys.database_principals WHERE name = USER_NAME(principal_id))) AS linked_login
FROM sys.tables
WHERE name = '你的表名';

两者的linked_login都应该显示为sa，这样所有权链的条件就满足了。

3. 关键遗漏：在dbRestricted中创建bob用户（无需权限） #

这是最容易忽略的点：即使你不需要bob访问dbRestricted的任何对象，SQL Server在跨库访问时，会检查当前登录的用户是否在目标数据库中存在对应的数据库用户。如果不存在，会直接拒绝访问。

执行以下命令在dbRestricted中创建bob用户（映射到他的服务器登录）：

USE dbRestricted;
CREATE USER bob FOR LOGIN bob;
-- 不需要授予任何权限，只需要用户存在即可

4. 确认bob对视图的SELECT权限正确授予 #

最后再确认你给bob的视图权限确实生效：

USE dbSafe;
GRANT SELECT ON 你的视图名 TO bob;

完成以上步骤后，bob应该就能正常访问这个跨库视图了——权限会通过所有权链传递，不需要直接给他dbRestricted中表的访问权限，完美保护敏感列。

内容的提问来源于stack exchange，提问作者BradC