SQL Server 权限配置指南，如何限制用户仅能查看指定数据库

本指南介绍如何在 SQL Server 中配置权限，限制用户仅能查看指定数据库，核心步骤包括：在服务器创建登录名，并在目标数据库中创建对应的数据库用户，通过授予用户在特定数据库上的连接和查看权限，同时拒绝访问其他数据库，从而实现精细化的数据访问控制。

在 SQL Server 的管理中，出于数据安全、开发隔离或权限管理的需要，管理员经常需要控制用户能“看到”哪些数据库，如果用户只被允许查看一个数据库，这意味着该用户无法在服务器对象列表中浏览其他数据库，从而提高了数据的安全性。

以下是实现这一目标的几种主要方法,按常用程度排序：

创建特定数据库的登录名（最常用的方法）

这是最直接且标准的做法,通过将登录名仅映射到某一个特定的数据库，用户在连接后只能在该数据库中操作，而无法在服务器层面看到其他数据库。

具体步骤：

1. 创建服务器登录名： 在 master 数据库中创建一个登录名。
2. 映射到特定数据库： 使用 USE 语句切换到目标数据库，创建对应的数据库用户，并授予连接权限。

T-SQL 示例代码：

-- 1. 在 master 数据库中创建登录名
CREATE LOGIN [RestrictedUser] WITH PASSWORD = 'StrongPassword123!';
-- 2. 将该登录名映射到 'MyTargetDatabase' 数据库
USE [MyTargetDatabase];
GO
CREATE USER [RestrictedUser] FOR LOGIN [RestrictedUser];
GO
-- 3. 授予该用户连接该数据库的权限
GRANT CONNECT ON DATABASE::[MyTargetDatabase] TO [RestrictedUser];
GO

效果： 执行上述代码后，使用 RestrictedUser 登录 SQL Server，在 SSMS 的“对象资源管理器”中，用户只能看到 MyTargetDatabase，尝试展开“数据库”节点时，列表中只会显示这一个数据库。

利用服务器角色限制

SQL Server 的服务器角色决定了用户在服务器级别的权限，不同的角色决定了用户能看到多少数据库：

• public 角色： 默认角色，如果用户属于此角色，通常能看到服务器上的所有数据库（除非数据库已隐藏）。
• sysadmin 角色： 超级管理员，可以看到并访问所有数据库。
• serveradmin 角色： 可以更改服务器配置，但通常也能看到所有数据库。

限制方法： 如果你希望用户只能操作一个数据库，最有效的方法是避免将用户添加到 sysadmin 或 serveradmin 角色，相反，应使用方法 1，将用户作为数据库所有者 (db_owner) 或仅拥有 CONNECT 权限添加到特定数据库中。

验证权限设置

配置完成后,如何验证用户是否真的“只允许看一个数据库”？

1. 使用该用户的凭据登录 SQL Server。
2. 在 SSMS 左侧导航栏展开“服务器对象” -> “数据库”。
3. 列表中应该只显示你希望用户看到的那个数据库。
4. 尝试右键点击其他数据库选择“附加”或“删除”，应该会提示权限不足。

实现“SQL Server 只允许看一个数据库”的核心在于数据库级别的权限映射，通过将服务器登录名仅与特定数据库的用户关联，并授予该数据库的 CONNECT 权限，即可有效地隔离用户视野，确保敏感数据的安全性。