学步园

GRANT服务器权限命令

为主体授予安全对象的权限。
一般概念是 GRANT <某种权限> ON <某个对象> TO <某个用户、登录名或组>。
有关权限的一般讨论，请参阅权限（数据库引擎）。

语法

Simplified syntax for GRANT
GRANT { ALL [ PRIVILEGES ] }
      | permission [ ( column [ ,...n ] ) ] [ ,...n ]
      [ ON [ class :: ] securable ] TO principal [ ,...n ] 
      [ WITH GRANT OPTION ] [ AS principal ]

参数

ALL

不推荐使用此选项，保留此选项仅用于向后兼容。
它不会授予所有可能的权限。 授予 ALL 参数相当于授予以下权限。

• 如果安全对象是数据库，则 ALL 对应 BACKUP DATABASE、BACKUP LOG、CREATE DATABASE、CREATE DEFAULT、CREATE FUNCTION、CREATE PROCEDURE、CREATE RULE、CREATE TABLE 和 CREATE VIEW。

• 如果安全对象是标量函数，则 ALL 对应 EXECUTE 和 REFERENCES。

• 如果安全对象是表值函数，则 ALL 对应 DELETE、INSERT、REFERENCES、SELECT 和 UPDATE。

• 如果安全对象是存储过程，则 ALL 表示 EXECUTE。

• 如果安全对象是表，则 ALL 对应 DELETE、INSERT、REFERENCES、SELECT 和 UPDATE。

• 如果安全对象是视图，则 ALL 对应 DELETE、INSERT、REFERENCES、SELECT 和 UPDATE。

PRIVILEGES

包含此参数是为了符合 ISO 标准。
请不要更改 ALL 的行为。

permission

权限的名称。
下面列出的子主题介绍了不同权限与安全对象之间的有效映射。

column

指定表中将授予权限的列的名称。
需要使用圆括号 ()。

class

指定将授予权限的安全对象的类。
需要使用作用域限定符 ::。

securable

指定将授予权限的安全对象。

TO principal

主体的名称。
可为其授予安全对象权限的主体随安全对象而异。 有关有效的组合，请参阅下面列出的子主题。

GRANT OPTION

指示被授权者在获得指定权限的同时还可以将指定权限授予其他主体。

作为 principal

指定一个主体，执行该查询的主体从该主体获得授予该权限的权限。

注释

---

GRANT 语句的完整语法非常复杂。
上面的语法关系图进行了简化以突出其结构。 下面列出的主题介绍了在授予特定安全对象权限时使用的完整语法。

REVOKE 语句可用于删除已授予的权限，DENY 语句可用于防止主体通过 GRANT 获得特定权限。

授予权限将删除对所指定安全对象的相应权限的 DENY 或 REVOKE 权限。如果在包含该安全对象的更高级别拒绝了相同的权限，则 DENY 优先。但是，在更高级别撤消已授予权限的操作并不优先。

数据库级权限在指定的数据库范围内授予。
如果用户需要另一个数据库中的对象的权限，请在该数据库中创建用户帐户，或者授权用户帐户访问该数据库以及当前数据库。

注意
表级 DENY 并不优先于列级 GRANT。 保留了权限层次结构中这种不一致性以保持向后兼容。 未来的版本会将其删除。

sp_helprotect 系统存储过程报告数据库级安全对象的权限。

-- Execute the following as a database owner
GRANT EXECUTE ON TestProc TO TesterRole WITH GRANT OPTION
EXEC sp_addrolemember TesterRole, User1;
-- Execute the following as User1
-- The following fails because User1 does not have the permission as the User1
GRANT EXECUTE ON TestMe TO User2;
-- The following succeeds because User1 invokes the TesterRole membership
GRANT EXECUTE ON TestMe TO User2 AS TesterRole;

下表列出了安全对象以及描述特定于安全对象的语法的主题。

REVOKE服务器权限命令

删除服务器级 GRANT 和 DENY 权限。

语法

REVOKE [ GRANT OPTION FOR ] permission  [ ,...n ] 
    { TO | FROM } <grantee_principal> [ ,...n ]
        [ CASCADE ]
    [ AS <grantor_principal> ] 

<grantee_principal> ::= SQL_Server_login 
        | SQL_Server_login_mapped_to_Windows_login
    | SQL_Server_login_mapped_to_Windows_group
    | SQL_Server_login_mapped_to_certificate
    | SQL_Server_login_mapped_to_asymmetric_key
    | server_role

<grantor_principal> ::= SQL_Server_login 
    | SQL_Server_login_mapped_to_Windows_login
    | SQL_Server_login_mapped_to_Windows_group
    | SQL_Server_login_mapped_to_certificate
    | SQL_Server_login_mapped_to_asymmetric_key
    | server_role

参数

permission

指定可对服务器授予的权限。
有关权限的列表，请参阅本主题后面的“备注”部分。

{ TO | FROM } <grantee_principal>

指定要从中撤消权限的主体。

AS <grantor_principal>

指定执行此查询的主体要从哪个主体派生其撤消该权限的权限。

GRANT OPTION FOR

指示要撤消为其他主体授予指定权限的权限。
不会撤消该权限本身。

重要提示
如果主体具有不带 GRANT 选项的指定权限，则将撤消该权限本身。

CASCADE

指示要撤消的权限也会从此主体授予或拒绝该权限的其他主体中撤消。

注意
如果对授予了 WITH GRANT OPTION 权限的权限执行级联撤消，将同时撤消该权限的 GRANT 和 DENY 权限。

SQL_Server_login

指定 SQL Server 登录名。

SQL_Server_login_mapped_to_Windows_login

指定映射到 Windows 登录名的 SQL Server 登录名。

SQL_Server_login_mapped_to_Windows_group

指定映射到 Windows 组的 SQL Server 登录名。

SQL_Server_login_mapped_to_certificate

指定映射到证书的 SQL Server 登录名。

SQL_Server_login_mapped_to_asymmetric_key

指定映射到非对称密钥的 SQL Server 登录名。

server_role

指定用户定义的服务器角色。

USE master;
REVOKE VIEW SERVER STATE FROM WanidaBenshoof;
GO

USE master;
REVOKE GRANT OPTION FOR CONNECT SQL FROM JanethEsteves;
GO

DENY 服务器权限命令

拒绝为主体授予权限。
防止该主体通过组或角色成员身份继承权限。

Simplified syntax for DENY
DENY { ALL [ PRIVILEGES ] }
      | permission [ ( column [ ,...n ] ) ] [ ,...n ]
      [ ON [ class :: ] securable ] TO principal [ ,...n ] 
      [ CASCADE] [ AS principal ]

参数

ALL

该选项不拒绝所有可能权限。
拒绝 ALL 相当于拒绝下列权限。

• 如果安全对象是数据库，则 ALL 对应 BACKUP DATABASE、BACKUP LOG、CREATE DATABASE、CREATE DEFAULT、CREATE FUNCTION、CREATE PROCEDURE、CREATE RULE、CREATE TABLE 和 CREATE VIEW。

• 如果安全对象是标量函数，则 ALL 对应 EXECUTE 和 REFERENCES。

• 如果安全对象是表值函数，则 ALL 对应 DELETE、INSERT、REFERENCES、SELECT 和 UPDATE。

• 如果安全对象是存储过程，则 ALL 表示 EXECUTE。

• 如果安全对象是表，则 ALL 对应 DELETE、INSERT、REFERENCES、SELECT 和 UPDATE。

• 如果安全对象是视图，则 ALL 对应 DELETE、INSERT、REFERENCES、SELECT 和 UPDATE。

注意
不推荐使用 DENY ALL 语法。 后续版本的 Microsoft SQL Server 将删除该功能。请避免在新的开发工作中使用该功能，并着手修改当前还在使用该功能的应用程序。应改为拒绝特定权限。

PRIVILEGES

包含此参数是为了符合 ISO 标准。
请不要更改 ALL 的行为。

permission

权限的名称。
下面列出的子主题介绍了不同权限与安全对象之间的有效映射。

column

指定表中拒绝授予其权限的列名。
需要使用圆括号 ()。

class

指定拒绝授予其权限的安全对象的类。
需要使用作用域限定符 ::。

securable

指定拒绝授予其权限的安全对象。

TO principal

主体的名称。
可以对其拒绝安全对象权限的主体随安全对象而异。 有关有效的组合，请参阅下面列出的特定于安全对象的主题。

CASCADE

指示拒绝授予指定主体该权限，同时，对该主体授予了该权限的所有其他主体，也拒绝授予该权限。当主体具有带 GRANT OPTION 的权限时，为必选项。

作为 principal

指定一个主体，执行该语句的主体从该主体获得拒绝授予该权限的权限。

注释

---

DENY 语句的完整语法很复杂。
上面的语法关系图进行了简化以突出其结构。 下列主题说明了用于拒绝授予特定安全对象的权限的完整语法。

如果在拒绝为主体授予某种权限时未指定 CASCADE，而之前为该主体授予此权限时指定了 GRANT OPTION，则 DENY 将失败。

sp_helprotect 系统存储过程报告数据库级安全对象的权限。

注意
表级 DENY 并不优先于列级 GRANT。 保留了权限层次结构中这种不一致性以保持向后兼容。 未来的版本会将其删除。

注意
拒绝授予数据库 CONTROL 权限将隐式拒绝授予该数据库 CONNECT 权限。如果拒绝授予某一主体对某一数据库的 CONTROL 权限，该主体将无法连接到该数据库。

注意
拒绝授予 CONTROL SERVER 权限将隐式拒绝授予对服务器的 CONNECT SQL 权限。如果拒绝授予某一主体对某一服务器的 CONTROL SERVER 权限，该主体将无法连接到该服务器。

下表列出了安全对象以及描述特定于安全对象的语法的主题。