从数据行入手保护SQL Server数据安全（2）
作者：思维牧童 来源：IT168 发布时间：2009-04-13 10:28:00
行级别安全代码范例
首先我们作出如下假设：
•使用SQL Server数据库(微软SQL Server 2000、2005或2008)
•所有表中都有一个共同的字段，使用它来决定谁可以看什么数据(本例中就是department字段)
•通过不同的用户id来加强应用程序调用数据库的安全性，而不是通过一个单一的admin用户id。
举例来说，图1所示数据结构包含：Orders表，包含一个客户名称、订单收入和销售部门;一个部门查阅表(Departments)，包含父部门字段;一个用户访问表(UserAccess)，在用户和他有权限查看的部门之间建立联系。用户访问表的每一行数据代表一个正确的用户/部门组合。如果一个用户有权限访问的部门下设许多子部门，那么这个父部门和每一个子部门在表中各占据一行数据。
图1 该数据库模型图显示了本例中所用到的表
让订单数据保持安全的关键是，通过SQL Server的表值型函数来保护它，该函数要求使用当前用户的id作为参数。表值型函数与其它函数一样可以接受参数，但是返回结果为一个表，而并非一个变量。在这个函数内，通过其安全属性联合要保护的表与用户访问表，将表的结果限定在与指定用户id相关的范围之内。
示例1定义了一个表值型函数，根据UserAccess表中的限制用户可以查看的内容，返回订单数量和订单的总收入。
以下为引用的内容：
CREATE FUNCTION [dbo].[GetOrderSummary]
(
@User_Id VARCHAR(20)
)
RETURNS TABLE
AS
RETURN
(
SELECT count(*) as OrderCount,
sum(OrderTotal) as Receipts
FROM dbo.Orders o
Join dbo.UserAccess ua
On o.Department = ua.Department
WHERE ua.UserID = @User_Id
)
示例1：创建保护订单数据的表值型函数的SQL语句
而图2显示了该函数的执行示例，以及相关表的数据内容，如表1、表2和表3.
图2 表值型函数执行示例
表1 UserAccess示例表内容
表2 Orders示例表内容
表3 Department表内容
0
投稿猜你喜欢
- 命名一直是个让我头痛的问题，特别是那些看上去差不多的模块，所以就得想办法啦，我总结了下面的方法，虽然还在试验中。希望对大家有帮助。欢迎大家提
- 阅读上一篇教程：WEB2.0网页制作标准教程（10）自适应高度布局初步搭建起来，我开始填充里面的内容。首先是定义logo图片：样式表：#lo
css里关于浏览器的兼容问题一直困惑着我们初级的css用户（高手可直接绕过），这里想根据我前段时间拜读的李超的书籍《css网站布局实录》里学- 在一行内声明CSS，对比下面两个：h2 {font-size:18px; border:1px solid&n
- 向数据库加入字符类型的数据时，我老爱写错数据中含有单引号的语句而导致操作失败像：正确的SQL语句：INSERT baby
- 一．权限表mysql数据库中的3个权限表：user 、db、 host权限表的存取过程是：1)先从user表中的host、 user、 pa
- 常见的双倍边距类问题都遇到过，但很少遇到这种有意思的，所以记录一下。这个BUG是发生在Standards模式下（就是包含XHTML或者HTM
- 本文旨在分类讲述执行计划中每一种操作的相关信息。数据访问操作 首先最基本的操作就是访问数据。这既可以通过直接访问表，也可以通过访问索引来进行
- 说起页面执行时间相信大家并不陌生，如果你经常逛论坛，就会发现很多论坛底部都显示有页面执行时间，那么什么是页面执行时间呢？我个人理解是一个网页
- INSERT、DELETE、UPDATE 三种SQL语句是数据库技术的三大基本语句. 在通常的web开发中对它的处理可以说是无处不在. 如果
- 将来电脑的大显示屏会越来越普及，并且从现在web设计作品中能观察到两点趋势：页面布局普遍更宽；页面内容文字普遍更大。使用1280×800和1
- 如何制作一个倒计时的程序？ 见下：<％CountdownDate = #1/1
- 一般写ASP PHP代码的朋友都估计是采用直接操作SQL的吧~ 看以下的代码 <％ dim conn,rs&nbs
- Access SQL 函数 收藏 ▲日期/时间CDate 将字符串转化成为日期 select CDate("2005/
- 思想：4个数字的排列，加上3个运算符的排列，使用后缀表达式的表现如下：情形一：1,2,3,4,+,-,* => 24*24*4情形二：
- 本文介绍了一些JavaScript常用到得表单验证函数，方便大家使用。 判断是否为整数，是则返回true,否则返回falsefun
- 我和朋友对此的看法有分歧，我明明记得有不需要返回的时候的？你的看法是对的，例如在表中删除记录。我们来看看下面的例子——在Employee表中
- JavaScript中的字符串函数没有像VBScript＼ASP中的内部函数那么全.不能像VB那样直接利用left和right函数来实现对字
- 我想从文件读数据的话，要比直接从数据库快一些吧（个人观点），昨天测试了读出6000条新闻，读数据库用了23579毫秒，读文件只用了123毫秒
- 学习一些你已经知道的知识也没有什么坏处，是吧？我知道这可能并不一定非常有意义，但是很多时候我们往往知其然而不知其所以然，这会使得事情出现惊人
