SQL Server 登录名与用户名详解

核心概念与层级关系

要准确掌握 SQL Server 的安全架构，需将“登录名”与“用户名”视为两个层级的实体，它们共同构成了从服务器入口到数据库资源的访问路径。

第1步：理解登录名（Login）的权限边界

• 定义与作用：登录名是服务器级别的实体。它允许用户连接到 SQL Server 实例，但仅凭登录名无法直接访问任何数据库中的具体资源。
• 存储位置：每个登录名的定义信息存放在 master 系统数据库的 syslogins 表中。

第2步：理解用户名（User）的数据库权限

• 定义与作用：用户名是登录名在某个具体数据库中的映射。只有建立了这种映射，登录名才能获得该数据库的访问权限，并进行授权操作。
• 存储位置：用户定义信息存放在其所属的每个数据库的 sysusers 表中。

SQL Server 将通过登录名连接的实体与特定数据库的用户名建立关联的过程称为映射。这一机制类似于大楼管理：登录名是进入大楼的门禁卡，而用户名则是进入各个房间（数据库）的钥匙。一个登录名可以拥有多个房间的钥匙（映射到多个数据库），但在同一个房间内只能有一把对应的钥匙。

自动映射规则与特殊账户

当使用登录名成功连接 SQL Server 后，在尝试访问某个数据库时，系统会执行以下逻辑判断：

1. 自动查询：检查目标数据库中是否存在与该登录名关联的用户名。
2. 存在映射：若存在映射，则使用该用户的权限访问数据库。
3. 无映射处理：若不存在映射，系统会自动将该用户作为 guest 角色访问数据库（前提是 guest 用户已启用且拥有权限）。

1. dbo（数据库所有者）

dbo 是一个特殊的数据库用户名，代表数据库的所有者。通常情况下，以 sa 登录名或 Windows 管理员组身份（Windows 集成验证）登录后，在该数据库中对应的用户名即为 dbo。需要注意的是，dbo 是用户名而非登录名，这体现了权限层级的分离。

2. public（公开角色）

public 是存在于每一个数据库（包括系统库 master、msdb、model 及用户数据库）中的固定数据库角色。所有数据库用户默认都属于 public 角色，且无法将其从该角色中移除。它是授予基础权限给所有用户的常见入口。

3. guest（访客用户）

guest 是一种特殊的用户帐户。如果用户使用 USE database 语句访问的数据库中没有与此登录名关联的专用用户帐户，且未配置其他回退策略，系统将尝试以 guest 身份关联。若 guest 也被禁用或未映射，则访问将被拒绝。

对象访问与权限设置

由于不同用户可能创建同名的数据库对象（如表、存储过程），为避免调用错误，SQL Server 要求在使用所有者限定的方式进行对象访问。这类似于 Oracle 中的 Schema 机制。

访问其他用户对象的必要条件

假设用户 me 需要访问由用户 you 创建的表 testtable，必须同时满足以下条件：

1. 具备足够权限：用户 me 必须在当前数据库中拥有足够的权限。通常情况下，需要将 me 的角色设置为 db_owner，或者显式授予对 you.testtable 的 SELECT 等特定权限。若仅在角色层面设为 db_owner，可确保访问其他用户对象的权限畅通。（注：具体可在数据库属性 -> 用户 中进行角色分配）
2. 使用所有者限定：在查询语句中明确指定对象的所有者。例如：

   SELECT * FROM you.testtable;

系统查找优先级与默认行为

• dbo 的特权：作为数据库管理员，dbo 拥有所有权限，可以调用任何用户创建的对象。
• 省略所有者的查找逻辑：如果一个数据库中存在多个用户，且具有 db_owner 角色的用户在访问对象时省略了所有者名称（例如 SELECT * FROM testtable），系统将按照以下顺序查找：
  1. 首先查找当前登录用户自己创建的同名对象。
  2. 若未找到，则查找由 dbo 拥有的同名对象。

综上，合理配置登录名与用户名的映射，并规范对象访问语法，是保障 SQL Server 数据安全与管理效率的关键。