sqlserver简便创建用户并授权

为自己打气加油

  很多研发人员程序连接SQL Server直接用的就是SA帐号。如果对数据库管理稍微严格一点的话，就不应该给应用程序这种权限，通常应用程序只需要进行增删改查，而很少有DDL操作，因此配置帐号时应该遵循“最小权限分配”的原则仅仅赋予所需的权限。

    对于应用程序来说，最小的权限通常就是就是给予读权限，写权限和执行存储过程权限。由于为了防止SQL注入导致的数据库信息泄漏，则还需要考虑拒绝帐号的查看定义权限，但值得注意的是，如果拒绝了查看定义的权限，则Bulk Insert会失败。完整的权限定义如下：

1. ALTER ROLE [db_datareader] ADD MEMBER 用户名
   
2. ALTER ROLE [db_datawriter] ADD MEMBER 用户名
   
3. grant execute to 用户名
   
4. deny view definition to 用户名

复制代码

  在SQL Server中，实例级别的是登录名，而数据库级别的才是用户名，登录名在创建完成后可映射到具体的库。因此找了一个完整的脚本，同时创建登录名，用户，以及赋予对应的权限，脚本如下：

1. --创建用户的存储过程，
   
2. 
   
3. --示例EXEC sp_CreateUser 'UserName','rw','DatabaseName'
   
4. --EXEC sp_CreateUser 'tesefx','r','Test','0xE39CA97EBE03BB4CA5FF78E50374EEBB'
   
5. 
   
6. CREATE PROC sp_CreateUser
   
7. @loginName VARCHAR(50) ,
   
8. @IsWrite VarCHAR(3) ,
   
9. @DatabaseName VARCHAR(50),
   
10. @Sid VARCHAR(100) ='1'
    
11. AS
    
12. PRINT('示例：EXEC sp_CreateUser ''UserName'',''rw'',''DatabaseName''')
    
13. PRINT('示例：EXEC sp_CreateUser ''UserName'',''rwv'',''DatabaseName'',''0xE39CA97EBE03BB4CA5FF78E50374EEBB''')
    
14. PRINT('r为只读权限，rw为读写权限，rwv为读写加View Definition权限')
    
15. 
    
16. 
    
17. IF EXISTS ( SELECT name
    
18. FROM sys.syslogins
    
19. WHERE name = @loginName )
    
20. BEGIN
    
21. PRINT N'登录名已存在，跳过创建登录名步骤'
    
22. END
    
23. ELSE
    
24. BEGIN
    
25. 
    
26. DECLARE @CreateLogin NVARCHAR(1000)
    
27. DECLARE @pwd VARCHAR(50)
    
28. PRINT @Sid
    
29. SET @pwd=NEWID()
    
30. IF(@sid='1')
    
31. BEGIN
    
32. SET @CreateLogin = 'CREATE LOGIN [' + @loginName + '] WITH PASSWORD=N'''
    
33. + @Pwd
    
34. + ''', DEFAULT_DATABASE=[master], CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF;'
    
35. PRINT N'登录名已创建，密码为:'+@pwd
    
36. END
    
37. ELSE
    
38. BEGIN
    
39. SET @CreateLogin = 'CREATE LOGIN [' + @loginName + '] WITH PASSWORD=N'''
    
40. + @Pwd
    
41. + ''', DEFAULT_DATABASE=[master], CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF,sid='+@Sid+';'
    
42. PRINT N'已经使用SID创建登录名:'+@loginName
    
43. 
    
44. END
    
45. EXEC (@CreateLogin)
    
46. 
    
47. --DECLARE @sidtemp NVARCHAR(50)
    
48. --SELECT @sidtemp=sid FROM sys.server_principals WHERE name=@loginName
    
49. --PRINT(N'登录名为:'+@loginName+N' SID为: 0x'+CONVERT(VARCHAR(50), @sidtemp, 2) )
    
50. END
    
51. 
    
52. 
    
53. 
    
54. DECLARE @DynamicSQL NVARCHAR(1000)
    
55. --切换数据库上下文
    
56. SET @DynamicSQL = N'Use [' + @DatabaseName + ']; ' + 'IF EXISTS(SELECT name FROM sys.database_principals WHERE name='''+@loginName+''') Begin Print(''用户名已存在，跳过创建用户名的步骤'') end else begin CREATE USER ['
    
57. + @loginName + '] FOR LOGIN ' + @loginName + ' end;IF ('''
    
58. + @IsWrite
    
59. + '''=''rw'' or '''
    
60. + @IsWrite
    
61. + '''=''rwv'') BEGIN ALTER ROLE [db_datareader] ADD MEMBER ' + @loginName
    
62. + ';ALTER ROLE [db_datawriter] ADD MEMBER ' + @loginName
    
63. + '; END ELSE BEGIN ALTER ROLE [db_datareader] ADD MEMBER '
    
64. + @loginName + ';
    
65. ALTER ROLE db_datawriter DROP MEMBER '
    
66. + @loginName + '
    
67. ;End;grant execute to ' + @loginName + ';
    
68. if('''+@IsWrite+'''<>''rwv'') begin deny view definition to ' + @loginName + '; end else begin grant view definition to ' + @loginName + '; end'
    
69. 
    
70. EXEC (@DynamicSQL)

复制代码

该存储过程用于创建应用程序连接SQL Server所需的登录名，用户以及对应权限，当用户或登录名存在时还会跳过该步骤，使用该存储过程的示例如：

1. EXEC sp_CreateUser 'UserName','rw','DatabaseNam'
   
2. EXEC sp_CreateUser 'tesefx','r','Test','0xE39CA97EBE03BB4CA5FF78E50374EEBB'

复制代码

上述执行的第一行是创建一个标准的帐号，账户名UserName，赋予对DatabaseNam的库的读写权限，并返回生成的GUID密码。第二个存储过程是使用第四个参数sid创建登录名，由于在AlwaysOn或镜像的环境中，两端登录名需要有相同的SID，因此提供了在该情况下使用SID创建登录名的办法。

如果需要，可以将该存储过程按照自己的需要去修改。