Início / dba / Perguntas / 196385
Accepted
jyao
Asked: 2018-01-27 15:52:51 +0800 CST

Quando a verificação de permissão do SQL Server é feita?

  • 772

Quando um usuário deve executar um procedimento armazenado complexo, dentro do qual existem algumas tabelas / visualizações ou até outro procedimento armazenado.

Minha pergunta é:

Antes de o SQL Server gerar um plano de execução, ele verifica a permissão do usuário?

Caso contrário, gerar o plano de execução em si é um custo indireto desperdiçado se o usuário não tiver EXECpermissão para esse procedimento armazenado em primeiro lugar.

Se sim, parece-me que não há nada consumível para o mecanismo do SQL Server, ou seja, não há identificador seguro (como o próprio procedimento armazenado, tabelas dentro do procedimento armazenado etc.) que o mecanismo do SQL Server pode usar para verificar a permissão do usuário . Todos esses identificadores protegíveis não serão gerados até que pelo menos a análise seja feita.

Então, de uma perspectiva de ciclo de vida da execução de um procedimento armazenado, quando a verificação de permissão do SQL Server é iniciada?

sql-server permissions

1 respostas

  1. Best Answer

    Isso é explicado em alguns detalhes aqui:

    https://learn.microsoft.com/en-us/sql/relational-databases/security/permissions-database-engine

    Mas a resposta básica é que os procedimentos armazenados têm planos de consulta armazenados em cache e reutilizados, e as verificações de permissões não são necessárias quando os objetos pertencentes ao proprietário do procedimento armazenado são acessados ​​a partir de um procedimento armazenado. Se existirem cadeias de propriedade válidas entre o procedimento e o objeto a ser acessado, somente a permissão EXECUTE será verificada antes que o procedimento armazenado seja iniciado. Outras verificações de permissões são ignoradas.

    Você poderia apresentar uma lista de etapas sobre como uma consulta (ou SP) é processada após ser enviada?

    A principal coisa a lembrar aqui é que todas as consultas em um lote são analisadas e compiladas antes que qualquer uma delas comece a ser executada. As permissões são verificadas durante a execução. E é até possível fazer referência a uma tabela em uma consulta de forma que as permissões nessa tabela nunca sejam realmente verificadas.

    Se você assistir a uma sessão XE como esta:

    CREATE EVENT SESSION [compiles] ON SERVER 
ADD EVENT sqlserver.query_post_compilation_showplan(
    ACTION(sqlserver.sql_text)
    WHERE ([sqlserver].[client_app_name]=N'Microsoft SQL Server Management Studio - Query'))
WITH (MAX_MEMORY=4096 KB,EVENT_RETENTION_MODE=ALLOW_SINGLE_EVENT_LOSS,MAX_DISPATCH_LATENCY=1 SECONDS)

    E fazer algo como

    use tempdb

create table t(id int)
create table w(id int)

create user fred without login

grant select on w to fred

    Então:

    dbcc freeproccache

go
execute as user='fred'

go
select * from w
select * from t 
go

select 1 
where 1 = case when 1=1 then 1 else (select count(*) from t) end

revert

    Você verá que os planos de consulta no primeiro lote são compilados, então a primeira consulta é executada e a segunda falha. A terceira consulta é bem-sucedida sem uma verificação de permissões.

    • 5

relate perguntas