SQL Server 2016 Always Encryption 存储过程无法正常工作问题

嘿，我之前也踩过一模一样的坑——用EF直接插数据顺风顺水，换存储过程就卡壳，这其实是Always Encrypted对存储过程的参数处理有特殊要求，咱们一步步来搞定：

一、先检查存储过程的参数定义 #

你的Team表中Name列是加密的，存储过程的参数必须和列的加密类型完全匹配，差一点都不行。比如你的存储过程得这么写：

CREATE PROCEDURE InsertTeam
    @Name NVARCHAR(100)  -- 必须和表中Name列的类型、长度完全一致
AS
BEGIN
    SET NOCOUNT ON;
    INSERT INTO Team (Name) VALUES (@Name);
END

别图省事用VARCHAR或者改长度，否则加密逻辑会直接失败。

二、确认连接字符串的关键配置 #

不管是EF直接插还是调用存储过程，连接字符串里必须加上Column Encryption Setting=Enabled，这是启用Always Encrypted的开关。比如你的连接字符串应该是这样：

Server=你的服务器地址;Database=你的数据库名;Trusted_Connection=True;Column Encryption Setting=Enabled;

虽然EF直接插入时可能没出问题，但存储过程调用时这个配置不能少。

三、EF中调用存储过程的正确姿势 #

EF调用存储过程时，不能随便传参数，得明确告诉EF这个参数对应加密列，要自动处理加密。

方法1：用SqlParameter显式指定类型 #

在你的MVC代码里这么写：

using (var dbContext = new YourDbContext())
{
    var teamNameParam = new SqlParameter("@Name", SqlDbType.NVarChar, 100)
    {
        Value = "你的团队名称"
    };
    dbContext.Database.ExecuteSqlCommand("EXEC InsertTeam @Name", teamNameParam);
}

这里重点是显式指定SqlDbType和Size，和表中加密列的属性完全对应，这样EF才会自动对参数值加密后传给存储过程。

方法2：EF Core的写法（如果用的是EF Core） #

要是你用的是EF Core，也可以这么调用：

var newTeamName = "你的团队名称";
dbContext.Team.FromSqlRaw("EXEC InsertTeam @Name", new SqlParameter("@Name", newTeamName));

同样要保证参数类型和加密列匹配。

四、检查密钥和权限配置 #

还有个容易忽略的点：执行存储过程的数据库账号，必须有权限访问Always Encrypted的列主密钥和列加密密钥。你可以在SQL Server里跑这两句检查：

-- 查看列主密钥信息
SELECT * FROM sys.column_master_keys;
-- 查看列加密密钥信息
SELECT * FROM sys.column_encryption_keys;

确保账号有VIEW ANY COLUMN MASTER KEY DEFINITION和VIEW ANY COLUMN ENCRYPTION KEY DEFINITION这两个权限，不然会报密钥不可用的错误。

五、常见坑排查 #

• 要是报“无法加密参数”：大概率是参数类型和列类型不匹配，比如列是NVARCHAR(100)，你参数用了NVARCHAR(50)或者VARCHAR，改一致就行。
• 要是报“密钥访问失败”：先检查连接字符串有没有加Column Encryption Setting=Enabled，再确认账号的密钥权限。

内容的提问来源于stack exchange，提问作者Melody