SQL Server行级访问实现：限制RemoteUser仅查看LastLoggdInAt非空数据

当然可以实现！在SQL Server里，有两种非常实用的方案来满足这个权限控制需求，我给你拆解一下：

方案1：创建带过滤条件的视图并授权 #

这是最直接的方式，适合需求简单、不需要动态调整过滤规则的场景：

• 首先创建一个只返回LastLoggedInAt不为空数据的视图，建议明确列出允许用户查看的字段（不要用*，避免后续表结构变更引发意外）：

  CREATE VIEW vw_AuthorizedUserLogins
  AS
  SELECT Id, UserName, LastLoggedInAt  -- 替换成你实际需要开放的字段
  FROM YourTableName  -- 替换成你的表名
  WHERE LastLoggedInAt IS NOT NULL;
  

• 接下来给RemoteUser授予这个视图的查询权限：

  GRANT SELECT ON vw_AuthorizedUserLogins TO RemoteUser;
  

• 最后要确保RemoteUser没有直接访问原表的权限（如果之前给过的话，一定要收回）：

  REVOKE SELECT ON YourTableName FROM RemoteUser;
  

方案2：使用行级安全性（RLS） #

如果你的需求更灵活（比如未来可能给不同用户设置不同过滤规则），行级安全性是更优的选择，它能在表层面直接过滤数据，用户查询原表时只会看到符合条件的行：

• 首先创建一个内联表值函数，定义过滤逻辑：

  CREATE FUNCTION dbo.fn_FilterLoggedInUsers()
  RETURNS TABLE
  WITH SCHEMABINDING
  AS
  RETURN SELECT 1 AS FilterResult
  WHERE USER_NAME() = 'RemoteUser' AND LastLoggedInAt IS NOT NULL
  -- 如果其他用户需要查看全部数据，加上下面这行；如果不需要，可删除
  OR USER_NAME() != 'RemoteUser';
  

• 然后创建安全策略，把这个函数绑定到目标表上并启用：

  CREATE SECURITY POLICY dbo.UserLoginRowFilter
  ADD FILTER PREDICATE dbo.fn_FilterLoggedInUsers()
  ON dbo.YourTableName  -- 替换成你的表名
  WITH (STATE = ON);
  

• 最后给RemoteUser授予原表的查询权限：

  GRANT SELECT ON YourTableName TO RemoteUser;
  

注意事项 #

• 无论用哪种方案，都要严格控制RemoteUser的其他权限，比如不要给它ALTER VIEW、ALTER SECURITY POLICY这类可能绕过限制的权限。
• RLS只支持SQL Server 2016及以上版本，如果你的数据库版本较低，只能选择视图方案。

内容的提问来源于stack exchange，提问作者LiamB