第8章 SQL Server 安全管理

第8 章安全管理（4课时）

主要内容：

1 安全管理概述（身份验证模式、主体和安全对象）

2 登录名管理（创建、维护等）

3 数据库用户管理（创建、维护等）

4 架构管理（创建、修改和删除等）

5 角色管理（固定角色、用户定义的数据库角色、应用程序角色）

6 权限管理（权限类型、常用对象的权限、管理权限）

8.1 安全管理概述

本章主线

安全管理是数据库管理系统一个非常重要的组成部分，是数据库中数据被合理访问和修改的基本保证。SQL Server提供了非常完善的安全管理机制（身份验证机制[authentication]和访问许可机制[permission]），包括用户登录管理和用户使用数据库对象的管理。只有使用特定的身份验证方式的用户，才能登录到系统中。只有具有一定权限的用户，才能对数据库对象执行相应的操作。

当用户登录数据库系统时，应确保只有合法的用户才能登录到系统中，这是一个基本的安全问题。SQL Server 2008系统中，通过身份验证模式和主体解决这个问题。

8.1.1 身份验证模式

身份验证是确定客户端能否连接到SQL Server的验证方式，通过登录账号和密码来实现。从客户端看，登录到SQL Server 2008系统可以通过两种身份验证：

●Windows身份验证

●SQL Server身份验证

Windows身份验证。该方式使用Windows操作系统的安全机制验证身份，只要用户能够通过Windows用户账号验证，即可连接到SQL Server而不用再进行身份验证。Windows 身份验证方式是默认的身份验证方式，比SQL Server方式更安全。这种身份验证方式下的连接是信任连接。

Windows身份验证方式下的用户账户是Windows操作系统下的用户或组，是由Windows 维护的。当然Windows下的用户或组要成为SQL Server的登录账户必须经过映射。

SQL Server身份验证方式。该方式使用SQL Server系统的安全机制验证身份。当客户端连接到服务器时必须提供登录名和密码，此种连接称为非信认连接，用户登录账户是由SQL Server维护的。

身份验证模式是SQL Server 2008系统验证客户端的方式，从服务器端看，SQL Server 服务器身份验证模式有两种：

●Windows 身份验证模式

●SQL Server和Windows 身份验证模式

通过SQL Server Management Studio工具可以查看和设置连接的服务器身份验证模式（演示），当然设置完成后，要重新启动SQL Server才能生效。

8.1.2 主体和安全对象

在权限管理中首先要理解主体与安全对象的概念。

【主体、安全对象和权限，对应哪些人、哪些资源和哪些操作，三个对象可用一个造句连接：给予<主体>对于<安全对象>的<权限>】

主体是可以请求系统资源的个体、组和过程，是可以请求SQL Server 资源的实体。例如，数据库用户是一种主体，可以按照自己的权限在数据库中执行相应的操作。

SQL Server 2008系统有多种不同的主体，不同主体之间的关系是典型的层次结构关系，位于不同层次上的主体其在系统中影响的范围也不同。主体的影响范围取决于主体定义的范围（Windows、服务器或数据库）以及主体是单个的还是一个集合。每个主体都具有一个安全标识符(SID)。

SQL Server 2008系统中，可以把主体的层次分为3个级别：

●Windows级别

●SQL Server级别

●数据库级别

Windows级别的主体包括：

●Windows 域登录名

●Windows 本地登录名

SQL Server级别的主体包括：

●SQL Server登录名

数据库级别的主体包括：

●数据库用户

●数据库角色

●应用程序角色

安全对象是SQL Server 数据库引擎授权系统控制对其进行访问的资源。SQL Server系统通过验证主体是否已经获得适当的权限来控制主体对安全对象的各种操作。安全对象范围有服务器、数据库和架构。

服务器安全对象范围包括：

●端点

●SQL Server 登录账户

●数据库

数据库安全对象范围包括：

●用户

●角色

●应用程序角色●程序集

●消息类型

●路由

●服务●远程服务绑定●全文目录

●证书

●非对称密钥●对称密钥

●约定

●架构

架构安全对象范围包括：

● 类型

● XML 架构集合

● 对象（聚合、约束、函数、过程、队列、统计信息、同义词、表、视图等）

主体和安全对象之间是通过权限关联起来的。主体通过发出请求来访问系统资源（安全对象）。主体能否对安全对象执行访问操作，需要判断主体是否拥有访问安全对象的权限。

那么，数据库中的对象由谁所有？如果是由用户所有，当用户被删除时，其所拥有的对象怎么办？难道数据库对象可以成为没有所有者的“孤儿”吗？在SQL Server 2008系统中，这个问题是通过用户和架构分离来解决的，用户并不拥有数据库对象，架构拥有数据库对象，用户通过架构来使用数据库对象。数据库对象、架构和用户之间的关系示意图如下：

8.2 登录名管理

登录账户是基于服务器级使用的名称。登录名管理包括创建登录名、设置密码策略、查看登录名信息及修改登录名等。

sa 是一个默认的SQL Server 登录名，拥有操作SQL Server 系统的所有权限，该登录名不能被删除。

以”##”开头和结尾的用户是SQL Server 内部使用的账户，由证书创建，不应该被删除。

BUILDIN\Administrator 账户是与本地管理员组关联的登录名，默认属于sysadmin 角色。这个账户使得任何属于本地管理员的账户都可以获得对SQL Server 的完全控制权。

【无论是哪一种环境下安装SQL Server 2008，都会碰到为每个SQL Server 2008服务配置账户的问题。安装SQL Server 2008时会用的账户如下：

[1] 本地用户帐户

[2] 域用户帐户

[3] 内置系统帐户

● Network Service 帐户（网络服务）

● Local Service 帐户（本地服务）

● Local System 帐户（本地系统）

本地用户帐户。工作组环境，如果计算机不在域中，则建议使用不具有 Windows 管理员权限的本地用户帐户。

域用户帐户。如果服务必须与网络服务进行交互，则访问类似于文件共享的域资源；如果服务使用到运行 SQL Server 的其他计算机的链接服务器连接，则可以使用具有最低特权的域帐户。许多服务器到服务器的活动只能使用域用户帐户来执行。此帐户应由域管理员在域环境内预先创建。

Local Service 帐户。是一个内置帐户，与 Users 组的成员具有相同级别的资源和对象访问权限。请注意，SQL Server 或 SQL Server 代理服务不支持 Local Service 帐户。该帐户的实际名称为“NT AUTHORITY\LOCAL SERVICE ”。

Network Service 帐户。是一个内置帐户，比 Users 组的成员拥有更多的对资源和对象的访问权限。以 Network Service 帐户身份运行的服务将使用计算机帐户的凭据访问网络资源。该帐户的实际名称为“NT AUTHORITY\NETWORK SERVICE ”。

Local System 帐户。Local System 是一个具有高特权的内置帐户。

它对本地系统有许多

权限并作为网络上的计算机。该帐户的实际名称为“NT AUTHORITY\SYSTEM”。

】

8.2.1 创建登录名

创建登录名包括定义登录名名称，与之映射的Windows登录账户（Windows身份验证），登录口令，默认数据库等信息。

?映射Windows登录账户为SQL Server 登录账户

（1）映射Windows登录账户为SQL Server 登录账户

CREATE LOGIN login_name FROM WINDOWS，其中，登录名必须用方括号括起来，名称格式为：域名\计算机名\用户名或组名。

例：已经创建Windows用户bobbie，请创建登录名

if suser_ID('admi\bobbie')is not null

drop login[admi\bobbie]

go

create login[admi\bobbie]from windows

go

（2）创建SQL Server登录账户

CREATE LOGIN login_name WITH PASSWORD=’password’

例：创建名称为user01的SQL Server登录账户

if suser_ID('user01')is not null

drop login user01

go

create login user01with password='user123'

go

例：创建指定默认数据库的登录名

if suser_ID('user02')is not null

drop login user02

go

create login user02with

password='user02123',default_database=northwind

go

在Microsoft SQL Server 2008系统中，可以使用Master数据库用的系统视图sys.server_principals目录视图可以查看有关服务器级的主体信息，sys.sql_logins目录视图提供了SQL Server登录名信息。其中，S类型表示SQL Server登录名，U表示Windows登录名，G表示Windows组。

8.2.2 维护登录名

登录名创建之后，可以根据需要修改登录名的名称、密码、密码策略、默认的数据库等信息，可以禁用或启用该登录名，也可以删除不需要的登录名。

使用ALTER LOGIN语句用来修改登录名的属性信息。【修改登录名与删除再重建该登录名是不同的，修改登录名时修改前后登录名的SID是不变的】，也可以禁用或启用指定的

登录名。

例：修改登录名的名称

ALTER LOGIN user01WITH name=suser01

例：修改登录名的密码

ALTER LOGIN suser01WITH PASSWORD='suser01123'

例：禁用登录名suser01登录

ALTER LOGIN suser01DISABLE

例：启用登录名suser01登录

ALTER LOGIN suser01ENABLE

如果某个登录名不再需要了，可以使用DROP LOGIN语句删除该登录名

8.3 数据库用户管理

数据库用户是数据库级的主体，是登录名在数据库中的映射，是在数据库中执行操作和活动的行动者。

在Microsoft SQL Server 2008系统中，数据库用户不能直接拥有表、视图等数据库对象，而是通过架构拥有这些对象。

数据库用户管理包括创建数据库用户、查看数据库用户信息、修改数据库用户、删除数据库用户等操作。

8.3.1 创建数据库用户

可以使用CREATE USER语句在指定的数据库中创建用户。

例：在mydb数据库中创建与suser01登录名相对应的数据库用户user01。

use mydb

go

if user_id('user01')is not null

drop user user01

go

create user user01from login suser01

go

用户名和登录名既可以相同，也可以不相同。数据库中的每一个用户都可以对应多个架构，但是只能对应一个默认架构。这里没有明确指定该用户拥有的默认架构，user01用户拥有的默认架构是dbo【dbo是一个系统自动生成的架构，可以拥有数据库中的所有对象】。例：创建具有指定架构的数据库用户。

use mydb

go

if user_id('user02')is not null

drop user user02

go

create user user02from login[ADMI\bobbie]with default_schema=mysc go

在创建数据库用户时可以引用当前不存在的架构，即可以在创建用户之后再创建指定的架构。

可以在相应数据库的安全性结点中查看到所有数据库用户，也可以使用

dbo数据库用户。dbo数据库用户是数据库中默认用户，是系统自动生成的。dbo用户拥有在数据库中操作的所有权限。默认情况下，SA登录名在各数据库中对应的用户就是dbo 用户。用户不能删除dbo用户。该用户的默认架构是dbo架构。

guest数据库用户。guest数据库用户是数据库中的一个默认的用户，也是系统自动生成的。授予guest 用户的权限由在数据库中没有用户账户的用户继承。不能删除guest 用户，但可通过撤消该用户的CONNECT 权限将其禁用【在master 或tempdb 以外的任何数据库中执行REVOKE CONNECT FROM GUEST 来撤消CONNECT 权限】。该用户的默认架构是guest架构。

8.3.2 维护数据库用户

数据库用户建立之后，可根据需要修改用户名；可以修改用户的默认架构；可以修改数据库用户对应的登录名映射；也可以删除数据库用户。

可以使用ALTER USER语句修改数据库用户。

例：将mydb数据库中的user01数据库用户更名为myuser01。

use mydb

go

if user_id('user01')is not null

alter user user01with name=myuser01

go

例：将mydb数据库中的myuser01数据库用户的默认架构更改为sc01。

use mydb

go

if user_id('myuser01')is not null

alter user myuser01with default_schema=sc01

go

例：将mydb数据库中的myuser01数据库用户对应的登录名修改为user02。

USE mydb

go

if USER_ID('myuser01')is not null

ALTER USER myuser01WITH LOGIN=user02

go

如果用户不需要了，可以使用DROP USER语句删除数据库用户。但要注意，不能从数据库中删除拥有架构的数据库用户。必须先删除或转移拥有的架构，才能删除数据库用户。

8.4 架构管理

架构是形成单个命名空间的数据库实体的集合。架构是数据库级的安全对象，也是Microsoft SQL Server 2008系统强调的特点，是数据库对象的容器，是分离数据库用户和安全对象的有效方法。

SQL Server 内置了十二个预定义的架构，它们与内置数据库用户和角色具有相同的名称。这些架构主要用于向后兼容性。如果不需要与固定数据库角色具有相同名称的架构，则可以删除它们。但不能删除下列架构：

●dbo

●guest

●sys

●INFORMA TION_SCHEMA

dbo架构是新创建的数据库用户的默认架构。dbo架构由dbo用户账户拥有。

guest架构是guest用户的默认架构。

sys 和INFORMA TION_SCHEMA 架构是为系统对象而保留的。不能在这些架构中创建对象，也不能删除它们。

管理架构包括创建架构、查看架构的信息、修改架构及删除架构等。

8.4.1 创建架构

创建架构包括定义架构名称，定义架构的所有者（数据库用户），另外在定义架构的同时，也可以定义该架构所拥有的表、视图，同时也可授予权限。

使用CREATE SCHEMA语句不仅可以创建架构，同时还可以创建该架构所有的表、视图并且可以对这些对象设置权限。

例：定义名称为mysc的架构

use mydb

go

if schema_id('mysc')is not null

drop schema mysc

go

create schema mysc

go

例：定义架构的同时明确指定所有者

use mydb

go

if schema_id('mysc01')is not null

drop schema mysc01

go

create schema mysc01authorization myuser01

go

需要指出的是，数据库用户的默认架构与架构的所有者是不同的。一个数据库用户可以拥有多个架构，但某一时刻只能有一个默认架构。

例：创建架构时，同时创建该架构所拥有的数据库对象并将SELECT权限授予guest用户。use mydb

go

if schema_id ('mysc02')is not null

drop schema mysc02 go

create schema mysc02 authorization myuser01

create table mytable ( empid int primary key ,

empname varchar (20)

)

grant SELECT to guest

go 如果要查看数据库中的架构信息,可以使用sys.schemas 架构目录视图。

8.4.2 修改和删除架构

修改架构是指将架构中的对象转移到其他架构中。ALTER SCHEMA 语句完成对架构的修改。另外还可以修改架构的所有者。

例：将dbo 架构拥有的mystudent 表转移到mysc02架构中。

use mydb

go

if SCHEMA_ID ('mysc02')is not null

alter schema mysc02 transfer dbo .mystudent

go 需要注意的是，由于对象的权限是与所属的架构紧密关联的，当将对象转移到新架构时，与该对象关联的所有权限都被删除。

例：将架构mysc 的所有者更改为数据库用户myuser01。

ALTER AUTHORIZATION ON schema ::mysc to myuser01

如果架构已经没有存在的必要了，可以使用DROP SCHEMA 语句删除架构。删除架构时需要注意，如果架构中包含有任何对象，那么删除操作将失败。只有架构中不再包含有对象时，才可以被删除。

8.5 角色管理

在SQL Server 中，角色是为了方便权限管理而设置的管理单位，它将数据库中的不同用户集中到不同单元（角色）中，并以单元为单位进行权限管理，该单元的所有用户都具有该权限，即角色的成员继承了角色的权限，大大减少了管理员的工作量。SQL Server 角色类型如下图所示：

8.5.1 SQL Server 的固定角色

服务器级

固定服务器角色 固定数据库角色 用户定义数据库角色

应用程序角色

固定服务器角色是服务器级别的主体，独立于各个数据库，作用范围是整个服务器。固定服务器角色具有固定的权限，不能被修改。可以在这些角色中添加登录名以获得相关的权限。下表列出了固定服务器角色名称及权限。

在SQL Server系统中，可以把登录名添加到固定服务器角色中，使登录名作为固定服务器角色的成员，从而继承固定服务器角色的权限。

可以使用sp_addsrvrolemember存储过程向固定服务器角色中添加成员，使用sp_dropsrvrolemember存储过程删除固定服务器角色成员，使用is_srvrolemember函数判断指定的登录名是否为某个固定服务器角色的成员，使用sp_helpsrvrolemember存储过程查看固定服务器角色的成员。

固定数据库角色是数据库级别的主体，作用范围是整个数据库。固定数据库角色具有固定的权限，不能被修改。可以在这些角色中添加数据库用户以获得相关的权限。SQL Server 中的每一个数据库中都有一组固定数据库角色，从而很容易实现数据库用户的权限管理。下表列出了固定数据库角色名称及权限。

其中，public角色是一个特殊的角色，有两大特点，一是初始状态是没有权限；二是所有的数据库用户都是它的成员。可以为该角色授予权限，所有数据库用户都会继承这些权限，从某种程度上可以这样说，为public角色授予权限时，实际上就是为所有数据库用户在授予权限。

在SQL Server系统中，可以把数据库用户添加到固定数据库角色中，使数据库用户作为固定数据库角色的成员，从而继承固定数据库角色的权限。

可以使用sp_addrolemember存储过程向固定数据库角色中添加成员，使用sp_droprolemember存储过程删除固定数据库角色成员，使用sp_helprolemember存储过程查看固定数据库角色的成员。

8.5.2 SQL Server的用户自定义数据库角色

用户可以根据应用需要定义数据库角色来管理数据库用户的权限。包括创建数据库角色、添加和删除数据库角色成员、查看数据库角色信息及修改和删除角色等。

创建角色的过程就是指定角色名称和拥有该角色的用户的过程。如果没有指定角色的所有者，那么当前操作的用户默认是该角色的所有者，可以使用AUTHORIZATION关键字明确指定所有者。

例：创建名为myrole01的数据库角色。

use mydb

go

if EXISTS(SELECT*FROM sys.database_principals WHERE name='myrole01' AND type='R')

drop role myrole01

go

create role myrole01

go

没有明确指定角色的所有者，当前执行create role语句操作的用户是默认的所有者。例：创建名为myrole02的数据库角色，其所有者是myuser01。

use mydb

go

if EXISTS(SELECT*FROM sys.database_principals WHERE name='myrole02' AND type='R')

drop role myrole02

go

create role myrole02authorization myuser01

go

可以使用sp_addrolemember存储过程向固定数据库角色中添加成员，使用sp_droprolemember存储过程删除固定数据库角色成员，使用sp_helprolemember存储过程查看角色的成员。

例：将myuser01数据库用户添加到角色myrole02中。

execute sp_addrolemember'myrole02','myuser01'

execute sp_helprolemember'myrole02'

例：将myuser01数据库用户从角色myrole02中删除。

execute sp_droprolemember'myrole02','myuser01'

execute sp_helprolemember'myrole02'

可以使用sys.database_principals安全目录查看当前数据库中所有数据库角色信息。使用sys.database_role_members安全目录视图查看当前数据库中所有数据库角色ID和其成员ID 信息。

如果要修改角色名称，可以使用ALTER ROLE语句。可以使用DROP ROLE语句删除指定的角色。

8.5.3 SQL Server的应用程序角色

应用程序角色是一个数据库主体，它使应用程序能够用其自身的、类似用户的权限来运行。使用应用程序角色，可以只允许通过特定应用程序连接的用户访问特定数据，如果不使用这些特定的应用程序连接，就无法访问这些数据。

与数据库角色相比来说，应用程序角色有3个特点：

●在默认情况下不包含任何成员；

●在默认情况下该角色是非活动的，必须激活之后才能发挥作用；

●该角色有密码，只有拥有应用程序角色正确密码的用户才可以激活该角色。当激活

某个应用程序角色之后，用户会失去自己原有的权限，转而拥有应用程序角色的权

限。

那么该如何使用应用程序角色呢？应用程序角色的意义在于其权限的变换。使用应用程序角色的过程包括下列步骤：

[1] 创建应用程序角色；

[2] 对该应用程序角色分配权限；

[3] 执行客户端应用程序；

[4] 客户端应用程序作为用户连接到SQL Server；

[5] 然后应用程序用一个只有它才知道的密码执行sp_setapprole 存储过程；

[6] 如果应用程序角色名称和密码都有效，则激活应用程序角色。此时，连接将失去用户权限，而获得应用程序角色权限，这些权限在连接期间始终有效。

在SQL Server系统中，可以使用CREATE APPLICATION ROLE语句创建应用程序角色。该语句的语法形式如下：

CREATE APPLICATION ROLE application_role_name

WITH PASSWORD=’password’ ,

DEFAULT_SCHEMA=schema_name

例：在mydb数据库中创建一个名为myapprole的应用程序角色。

use mydb

go

create application role myapprole

with password='myapprole123',

default_schema=mysc

go

在默认状态下，新建的应用程序角色是非活动的，只有激活后才能发挥作用。使用sp_setapprole存储过程激活应用程序角色。

应用程序角色激活之后一直处于活动状态，直到该连接断开或执行了sp_unsetapprole 存储过程为止。

例：激活数据库mydb中的应用程序角色myapprole。

use mydb

go

sp_setapprole'myapprole','myapprole123'

go

**例：使用密码’myapprole123’激活myapprole应用程序角色并创建一个cookie。该示例返回当前用户的名称，然后通过执行sp_unsetapprole 恢复到原始上下文中并且返回用户名称。use mydb

go

declare@cookie varbinary(8000)

execute sp_setapprole

'myapprole','myapprole123',@fcreatecookie=true,@cookie=@cookie output select USER_NAME()

execute sp_unsetapprole@cookie

select USER_NAME()

go

对于应用程序角色，可以使用ALTER APPLICATION ROLE 语句修改应用程序角色的名称、密码和默认架构。可以使用DROP APPLICATION ROLE语句删除该角色。

8.6 权限管理

权限是执行操作、访问数据的通行证。只有拥有了针对某种安全对象的指定权限，才能对该对象执行相应的操作。可以对不同的主体对象设置不同的权限，从而赋予或限制它们访问数据的能力

8.6.1 权限的类型（从权限的角度看待对象）

在SQL Server系统中，不同的分类方式可以把权限分成不同的类型。如果按照权限是否与特定的对象有关，可以把权限分为针对所有对象的权限和针对特殊对象的权限。

针对所有对象的权限表示这种权限可以针对SQL Server系统中所有的对象。下表列出了常用的针对所有对象的权限及其描述。

针对特殊对象的权限是指某些权限只能在指定的对象上起作用。下表列出了常用的针对特殊对象的权限及其描述。

8.6.2 常用对象的权限（从对象角度来看待权限）

安全对象的常用权限如下表所示。

8.6.3 管理权限

SQL Server的权限管理包括授予权限、收回权限和否认权限。权限管理可以通过SQL Server Management Studio工具实现，也可以通过命令来实现，这里只介绍通过命令实现权限管理。

在SQL Server 2008系统中，可以使用GRANT语句将安全对象的权限授予指定的安全主体。这些可以使用GRANT语句授权的安全对象包括应用程序角色、程序集、非对称密钥、证书、约定、数据库、端点、全文目录、函数、消息类型、对象、队列、角色、路由、架构、服务器、服务、存储过程、对称密钥、系统对象、表、类型、用户、视图和XML架构集合等。

GRANT语句的语法是比较复杂的，不同的安全对象有不同的权限，因此也有不同的授权方式。下面是GRANT语句的简单语法。

GRANT { ALL [ PRIVILEGES ] }

| permission [ ( column [ ,...n ] ) ] [ ,...n ]

[ ON [ class :: ] securable ] TO principal [ ,...n ]

[ WITH GRANT OPTION ] [ AS principal ]

可以这样理解，GRANT <某个权限> ON <某个对象> TO <某个用户、登录名或组>。例：授予数据库用户myuser查询表mytable的权限。

use mydb

grant select on mysc.mytable to myuser

例：授予数据库用户myuser的create table权限。

use mydb

grant create table to myuser

例：授予数据库用户myuser关于表mytable的insert权限，并允许该用户将这个权限转授给其它用户。

use mydb

grant select on mysc.mytable to myuser with grant option

例：授予数据库用户查询表中指定列的权限。

use mydb

grant select on mysc.student(xh,xm)to myuser

如果希望从某个安全主体处收回权限，可以使用REVOKE语句。REVOKE语句是与GRANT语句相对应的，可以把通过GRANT语句授予给安全主体的权限收回。也就是说，使用REVOKE语句可以删除通过GRANT语句授予给安全主体的权限。

REVOKE语句的简单语法如下：

REVOKE [ GRANT OPTION FOR ]

{

[ ALL [ PRIVILEGES ] ]

|

permission [ ( column [ ,...n ] ) ] [ ,...n ]

}

[ ON [ class :: ] securable ]

{ TO | FROM } principal [ ,...n ]

[ CASCADE] [ AS principal ]

可以这样理解，REVOKE <某个权限> ON <某个对象> FROM <某个用户、登录名或组>。例：将数据库用户myuser查询mytable_sa_1的权限收回。

必需是授权者或系统管理员来收回相应权限。

revoke select on dbo.mytable_sa_1from myuser

例：将数据库用户的create table权限收回。

revoke create table from myuser

例：收回数据库用户myuser关于表mytable的insert权限（允许该用户将这个权限转授给其它用户）。

revoke insert on mytable from myuser cascade

例：收回数据库用户查询表中指定列的权限。

revoke select on dbo.mytable_sa_2(id,name)from myuser

安全主体可以通过两种方式获得权限，第一种方式是直接使用GRANT语句为其授予权限，第二种方式是通过作为角色成员继承角色的权限。

使用REVOKE语句只能删除安全主体通过第一种方式得到的权限，要想彻底删除安全主体的特定权限必须使用DENY语句。

DENY语句的语法形式与REVOKE语句非常类似。

例：

DENY SELECT ON dbo.mytable(ID,name)TO myuser

该DENY语句成功地从myuser用户处删除了针对mytable表中ID和Name两列的SELECT权限，而且禁止该用户通过作为其他角色成员获得针对这两列的SELECT权限。

当某个安全主体针对某个安全对象的指定权限处于否认状态时，可以使用REVOKE语句收回这种状态，使得该安全主体针对该安全对象的指定权限处于自然状态。

例：

revoke SELECT ON dbo.mytable(ID,name)from myuser

2.1 XXX

2.1 XXX