Azure SQL Database非特权用户Dynamic Data Masking未生效问题咨询

看起来你在Azure SQL Server上遇到了动态数据掩码不生效的问题，而本地SQL Express正常，这大概率是Azure环境下的权限或配置细节差异导致的。我整理了几个关键排查点和解决方案：

1. 检查非特权用户是否意外拥有UNMASK权限 #

Azure SQL中，UNMASK权限会直接绕过动态数据掩码，默认普通用户不会有这个权限，但可能通过误操作或角色继承获得。你可以用以下脚本查询：

SELECT dp.name AS DatabaseUserName, 
       perm.permission_name, 
       perm.state_desc 
FROM sys.database_permissions perm
JOIN sys.database_principals dp ON perm.grantee_principal_id = dp.principal_id
WHERE perm.permission_name = 'UNMASK';

如果查询结果显示目标用户有UNMASK权限，立即撤销：

REVOKE UNMASK FROM [你的非特权用户名];

2. 验证掩码规则是否正确应用到目标列 #

有时候掩码配置可能没有成功绑定到列上，你可以通过系统视图确认：

SELECT c.name AS ColumnName, 
       t.name AS TableName, 
       c.is_masked, 
       c.masking_function 
FROM sys.masked_columns c
JOIN sys.tables t ON c.object_id = t.object_id
WHERE t.name = 'Cars';

确保is_masked的值为1，且masking_function显示你设置的规则（比如partial(0,"XXX-",0)用于车牌掩码）。如果值为0，说明掩码没有正确创建，需要重新执行掩码配置脚本。

3. 排查用户是否属于高权限数据库角色 #

db_owner、db_ddladmin这类高权限角色的成员默认拥有UNMASK权限，即便你没有直接赋予。查询用户的角色成员关系：

SELECT dp.name AS UserName, 
       dr.name AS RoleName
FROM sys.database_role_members drm
JOIN sys.database_principals dp ON drm.member_principal_id = dp.principal_id
JOIN sys.database_principals dr ON drm.role_principal_id = dr.principal_id
WHERE dp.name = '[你的非特权用户名]';

如果用户在高权限角色中，移除其成员身份：

ALTER ROLE db_owner DROP MEMBER [你的非特权用户名];

4. 测试直接查询底层表，排除视图/临时表干扰 #

如果非特权用户是通过视图访问数据，可能视图的配置绕过了掩码（比如使用WITH SCHEMABINDING且用户对视图有特殊权限）。建议直接让用户执行SELECT * FROM Cars;，看原始表的查询结果是否被掩码。

5. 确认会话权限变更生效 #

权限变更后，需要让非特权用户重新连接数据库会话，旧会话可能还保留之前的权限状态。

如果以上步骤都排查过还是有问题，可以补充你的完整掩码创建脚本和用户权限配置，这样能更精准定位问题。

内容的提问来源于stack exchange，提问作者Tich