最近對(duì)SQL Server 2008的安全入門(mén)略作小結(jié)，以作備忘。本文主要是針對(duì)存儲(chǔ)過(guò)程加密與安全來(lái)作分析。

<一>存儲(chǔ)過(guò)程加密

其實(shí)，用了這十多年的SQL server，我已經(jīng)成了存儲(chǔ)過(guò)程的忠實(shí)擁躉。在直接使用SQL語(yǔ)句還是存儲(chǔ)過(guò)程來(lái)處理業(yè)務(wù)邏輯時(shí)，我基本會(huì)毫不猶豫地選擇后者。

理由如下：

1、使用存儲(chǔ)過(guò)程，至少在防非法注入(inject)方面提供更好的保護(hù)。因?yàn)椋鎯?chǔ)過(guò)程在執(zhí)行前，首先會(huì)執(zhí)行預(yù)編譯，（如果由于非法參數(shù)的原因）編譯出錯(cuò)則不會(huì)執(zhí)行，這要某種程度上提供一層天然的屏障。

我至今還記得大約八、九年前采用的一個(gè)權(quán)限控制系統(tǒng)就是通過(guò)拼湊一個(gè)SQL語(yǔ)句，最終得到了一個(gè)形如“ where 1=1 and dataID in (1,2) and ModelID in (2,455) And ShopID in (111) and departID in ( 1,3) and ([Name] like %myword%) ”的where條件子句來(lái)獲取符合條件的結(jié)果集。

注意：這個(gè)參數(shù)是通過(guò)地址欄web應(yīng)用的地址欄或Winform的UI界面來(lái)輸入的，所以對(duì)惡意注入需要花費(fèi)一定的成本來(lái)維護(hù)。因?yàn)橐恍┏Ｓ玫年P(guān)鍵字（或敏感詞）很難區(qū)分是惡意或非惡意。

2、使用存儲(chǔ)過(guò)程而不是直接訪(fǎng)問(wèn)基表，可以提供更好的安全性。你可以在行級(jí)或列級(jí)控制數(shù)據(jù)如何被修改。相對(duì)于表的訪(fǎng)問(wèn)，你可以確認(rèn)有執(zhí)行權(quán)限許可的用戶(hù)執(zhí)行相應(yīng)的存儲(chǔ)過(guò)程。這也是訪(fǎng)問(wèn)數(shù)據(jù)服務(wù)器的惟一調(diào)用途徑。因此，任何偷窺者將無(wú)法看到你的SELECT語(yǔ)句。換句話(huà)說(shuō)，每個(gè)應(yīng)用只能擁有相應(yīng)的存儲(chǔ)過(guò)程來(lái)訪(fǎng)問(wèn)基表，而不是“SLEECT *”。

3、存儲(chǔ)過(guò)程可以加密。（這點(diǎn)非常實(shí)用，設(shè)想一下，您的數(shù)據(jù)庫(kù)服務(wù)器是托管的或租用的，你是否能心安理得的每天睡個(gè)安穩(wěn)覺(jué)。如果競(jìng)爭(zhēng)對(duì)手“一不小心”登上你的SQL Server,或通過(guò)注入得到了你的存儲(chǔ)過(guò)程，然后相應(yīng)的注入惡意的SQL，將您的業(yè)務(wù)邏輯亂改一通，而恰巧您五分鐘前又沒(méi)做備份，那會(huì)怎么樣？）

（注意：加密存儲(chǔ)過(guò)程前應(yīng)該備份原始存儲(chǔ)過(guò)程，且加密應(yīng)該在部署到生產(chǎn)環(huán)境前完成。）

存儲(chǔ)過(guò)程的加密非常簡(jiǎn)單，我們看一個(gè)例子：

插入測(cè)試表

use testDb2  
go  
/**********測(cè)試表*****************/  
SET ANSI_PADDING ON 
GO  
CREATE TABLE [dbo].[tb_demo](      
[id] [int] NOT NULL,      
[submitdate] [datetime] NULL,      
[commment] [nvarchar](200) NULL,  
)  
GO  
SET ANSI_PADDING OFFGO  
Insert into [tb_demo]  
select 1024, getdate(),REPLICATE('A',100);  
WAITFOR DELAY '00:00:04';  
Insert into [tb_demo]  
select 1024, getdate(),REPLICATE('B',50);  
go 

插入存儲(chǔ)過(guò)程

/***************創(chuàng)建未加密的存儲(chǔ)過(guò)程*******************/  
Create Procedure CPP_test_Original  
AS 
select * from [tb_demo]  
go  
/***************創(chuàng)建加密的存儲(chǔ)過(guò)程*******************/  
Create Procedure CPP_test_Encryption   
with encryption  
AS 
----可以換成任意的邏輯  
execute CPP_test_Original  
go 

未加密的存儲(chǔ)過(guò)程：

加密的存儲(chǔ)過(guò)程：

此時(shí)，至少，存儲(chǔ)過(guò)程的內(nèi)容不會(huì)被輕易看到（雖然解密也是有可能的）。應(yīng)用這個(gè)，我們可以對(duì)某些關(guān)鍵的存儲(chǔ)過(guò)程進(jìn)行加密。但此時(shí)，存儲(chǔ)過(guò)程仍然能被execute、alter和drop。

<二>安全上下文

除了加密sql文本的內(nèi)容，我們還可以使用EXECUTE AS 子句設(shè)定存儲(chǔ)過(guò)程的安全上下文，以滿(mǎn)足不同的安全級(jí)別需求。

如果你對(duì)這些不感興趣，請(qǐng)直接路過(guò)帶下劃線(xiàn)的段落。

(關(guān)于EXECUTE AS 子句的詳細(xì)用法，請(qǐng)參看MSDN:http://msdn.microsoft.com/zh-cn/library/ms188354.aspx)

此處，我們需要了解的是：

1、在 SQL Server 中，可以定義以下用戶(hù)定義模塊的執(zhí)行上下文：函數(shù)（內(nèi)聯(lián)表值函數(shù)除外）、過(guò)程、隊(duì)列和觸發(fā)器。

通過(guò)指定執(zhí)行模塊的上下文，可以控制數(shù)據(jù)庫(kù)引擎使用哪一個(gè)用戶(hù)帳戶(hù)來(lái)驗(yàn)證對(duì)模塊引用的對(duì)象的權(quán)限。這有助于人們更靈活、有力地管理用戶(hù)定義的模塊及其所引用對(duì)象所形成的對(duì)象鏈中的權(quán)限。必須而且只需授予用戶(hù)對(duì)模塊自身的權(quán)限，而無(wú)需授予用戶(hù)對(duì)被引用對(duì)象的顯式權(quán)限。只有運(yùn)行模塊的用戶(hù)必須對(duì)模塊訪(fǎng)問(wèn)的對(duì)象擁有權(quán)限。

針對(duì)函數(shù)、過(guò)程、隊(duì)列和觸發(fā)器，對(duì)應(yīng)的參數(shù)也不同。存儲(chǔ)過(guò)程對(duì)應(yīng)的參數(shù)包括（CALLER | SELF | OWNER | 'user_name'）。

USE testDb2  
GO  
CREATE PROCEDURE dbo.[CPP_DEL_ALL_Tb_Demo]  
AS 
-- Deletes all rows prior to the data feed  
DELETE dbo.[tb_Demo]  
GO 

USE master  
GO  
CREATE LOGIN TonyZhang WITH PASSWORD = '123b3b4' 
USE testDb2  
GO  
CREATE USER TonyZhang  
GO  
GRANT EXEC ON dbo.[CPP_DEL_ALL_Tb_Demo] to TonyZhang 

EXECUTE dbo.CPP_DEL_ALL_Tb_Demo  
/**  
(4 row(s) affected)  
**/ 

Alter PROCEDURE dbo.[CPP_DEL_ALL_Tb_Demo]  
AS 
-- Deletes all rows prior to the data feed  
truncate table dbo.[tb_Demo]  
GO 

CREATE PROCEDURE dbo.[CPP_SEL_CountRowsFromAnyTable]  
@SchemaAndTable nvarchar(255)  
AS 
EXEC ('SELECT COUNT(1) FROM ' + @SchemaAndTable)  
GO 

GRANT EXEC ON dbo.[CPP_SEL_CountRowsFromAnyTable] to TonyZhang  
go 

USE master  
GO  
CREATE LOGIN JackWang WITH PASSWORD = '123b3b4' 
USE Testdb2  
GO  
CREATE USER JackWang  
GRANT SELECT ON OBJECT::dbo.[tb_Demo] TO JackWang  
GO  
/*******  
注意：此時(shí)，JackWang 可以執(zhí)行dbo.[tb_Demo的Select   
*******/ 

USE Testdb2  
GO  
alter PROCEDURE dbo.[CPP_SEL_CountRowsFromAnyTable]  
@SchemaAndTable nvarchar(255)  
WITH EXECUTE AS 'JackWang' 
AS 
EXEC ('SELECT COUNT(1) FROM ' + @SchemaAndTable)  
GO 

原文鏈接：http://www.cnblogs.com/downmoon/archive/2011/02/28/1966662.html

【編輯推薦】

1. SQL Server 2005數(shù)據(jù)庫(kù)SA的相關(guān)安全性設(shè)置
2. SQL Server與Oracle數(shù)據(jù)庫(kù)在安全性上的異同
3. Sql server安全設(shè)置九大措施
4. SQL Server安全解析
5. sql server安全的兩層模型