SQL权限管理遵循最小权限原则，分服务器、数据库、架构、对象四层控制，通过GRANT/DENY/REVOKE显式操作，推荐角色化授权并定期审计清理。
SQL访问权限管理的核心在于“最小权限原则”——只授予用户完成任务所必需的权限，不多不少。这不仅是安全底线，更是避免误操作、数据泄露和越权访问的根本保障。
权限分层：从服务器到对象，逐级控制
SQL权限按作用域分为四层：服务器级（如登录、创建数据库）、数据库级（如使用数据库、查看架构）、架构级（如对表、视图、存储过程的操作）、对象级（如对某张user表的SELECT或UPDATE）。权限逐层继承但可单独覆盖，例如用户在数据库级被拒绝SELECT，即使表级授了权限也无效。
- 服务器角色（如sysadmin）拥有全实例最高权限，慎用；普通运维建议用dbcreator或diskadmin等限定角色
- 数据库角色（如db_owner、db_datareader）适合批量授权，比逐个授表权限更高效且易维护
- 自定义数据库角色可精准组合权限，比如建一个“report_reader”角色，只含SELECT权限且仅限report_schema下的视图
授予权限：用GRANT，但别忘了DENY和REVOKE
GRANT不是唯一指令，DENY优先级高于GRANT，用于明确禁止某操作；REVOKE则用于撤回已授予权限。三者共存时，执行顺序为：DENY > GRANT > 默认无权限。
- 给开发账号只读权限：GRANT SELECT ON SCHEMA::dbo TO dev_user
- 禁止某用户删日志表：DENY DELETE ON dbo.log_table TO audit_user
- 回收过期权限：REVOKE INSERT, UPDATE ON sales.orders FROM sales_clerk
基于角色的权限管理：替代直接授权，提升可维护性
直接对用户授予权限会导致权限分散、难以审计。推荐做法是“用户→角色→权限”三层结构：先建角色、授予权限给角色，再把用户加入角色。人员变动时只需调整成员关系，无需重配权限。
- 创建角色：CREATE ROLE app_writer
- 授予权限：GRANT INSERT, UPDATE ON app.users TO app_writer
- 添加成员：ALTER ROLE app_writer ADD MEMBER user_jane
- 查角色权限：SELECT * FROM sys.database_permissions WHERE major_id IN (SELECT principal_id FROM sys.database_principals WHERE type = 'R' AND name = 'app_writer')
定期审计与权限清理：让权限管理持续有效
权限不是一劳永逸的配置。新业务上线、员工转岗、离职交接都会带来权限冗余或缺失。建议每季度运行一次权限审查脚本，重点关注：
- 是否存在未使用的SQL登录名或数据库用户
- 是否有用户属于多个冲突角色（如同时是db_owner和db_denydatawriter）
- 是否有高危权限（CONTROL SERVER、ALTER ANY DATABASE）被非DBA持有
- 是否所有活跃用户都通过角色间接获得权限（而非直授）
基本上就这些。权限管理不复杂但容易忽略细节，抓住分层、角色、显式控制和定期清理四个关键点，就能稳住SQL环境的安全基线。
