基于Reporting Services用户实现SSRS报表行级权限的技术问询

你遇到的问题核心很明确：因为报表数据源用的是统一的reportviewer SQL账号连接数据库，所以SQL里的USER_NAME()只会返回这个SQL账号的标识（比如dbo），根本拿不到SSRS端的登录用户。要在不新增SQL用户的前提下实现行级权限，关键是让SSRS把当前登录用户作为参数传递给SQL查询，再用这个参数匹配你的权限表。

下面是具体的实现步骤：

1. 在SSRS报表中创建隐藏的用户参数 #

首先，在你的SSRS报表里添加一个参数，比如命名为@ReportUser：

• 把参数的数据类型设为Text
• 在默认值里选择“指定值”，然后添加表达式：=User!UserID，这个表达式会自动获取当前SSRS登录的用户（格式就是你权限表里的SERVERNAME\UserName）
• 把参数的可见性设为“隐藏”，这样用户看不到这个参数，但报表运行时会自动填充值

2. 修改SQL查询，用传入的参数过滤数据 #

接下来，修改你的数据集查询（直接在数据集里处理比调整视图更灵活），把@ReportUser参数传进去，用来匹配权限表的记录。示例代码如下：

SELECT a.*
FROM 你的业务数据表/视图 a
WHERE 
    -- 匹配当前SSRS用户有权限的项目
    a.NrProjektu IN (SELECT Projekt FROM tbn.SSRSRaportyDostepView WHERE USERLOGIN = @ReportUser)
    -- 保留管理员权限
    OR IS_ROLEMEMBER('db_owner') = 1
    OR IS_SRVROLEMEMBER('sysadmin') = 1

注意：要确保你业务表中的NrProjektu和权限表SSRSRaportyDostepView里的Projekt字段值完全匹配，否则过滤会失效。

3. 验证权限逻辑 #

完成上述设置后，测试一下：

• 用SERVERNAME\Matthias登录SSRS，运行报表，应该只能看到Project12和Project13的数据
• 用SERVERNAME\Tommy登录，只能看到Project14的数据
• 用SQL管理员账号（比如sysadmin）登录，能看到所有数据

关键注意事项 #

• 确保User!UserID返回的格式和你权限表里的USERLOGIN完全一致，比如大小写、域名/服务器名的拼写，否则匹配会失败
• 不要修改数据源的连接账号，依然用reportviewer即可，所有权限逻辑都通过SSRS传递的参数和SQL查询来实现
• 如果你的SSRS是用Windows身份验证模式，User!UserID会自动返回当前登录的域/服务器账号，刚好符合你权限表的格式

内容的提问来源于stack exchange，提问作者Maciek