SQL Server新建用户并赋予某数据库权限详细教程
在数据库日常运维和开发过程中，为了保障数据安全，遵循最小权限原则，我们通常需要为不同的应用或开发人员创建独立的数据库账号，并仅授予其特定数据库的访问权限，禁止其越权访问其他数据库。
本文将详细介绍如何在 SQL Server 中通过图形界面（SSMS）和 T-SQL 脚本两种方式，新建登录名并赋予其指定数据库的读写权限。
一、 通过 SSMS 图形界面操作
使用 SQL Server Management Studio (SSMS) 是最直观的操作方式，适合初学者和日常轻量级维护。
1. 创建服务器登录名（Login）
登录名是服务器级别的主体，用于连接到 SQL Server 实例。
打开 SSMS，使用管理员账号（如 sa）连接到数据库实例。
在左侧对象资源管理器中，依次展开：安全性 -> 登录名。
右键点击登录名，选择新建登录名。
在弹出的窗口中，输入登录名（例如：AppUser）。
选择身份验证方式。建议选择SQL Server 身份验证，设置强密码。如果是测试环境，可以取消勾选“强制实施密码策略”。
在左侧选择服务器角色，确保只勾选了 public（默认即可，切勿勾选 sysadmin 等高级角色）。
2. 映射到目标数据库并赋予角色
创建了登录名后，它还不能直接访问某个具体数据库，需要将其映射为数据库用户并赋权。
在同一个“新建登录名”窗口中，选择左侧的用户映射页签。
在右上角映射到此登录名的用户列表中，勾选你需要授权的目标数据库（例如：TestDB）。
勾选后，下方数据库角色成员身份会自动激活。对于常规的读写应用，只需勾选以下两个角色即可：
db_datareader：允许读取（SELECT）数据库中所有用户表的数据。
db_datawriter：允许写入（INSERT、UPDATE、DELETE）数据库中所有用户表的数据。
点击确定，完成创建和赋权。
二、 通过 T-SQL 脚本操作
对于自动化部署或批量操作，使用 T-SQL 语句效率更高。以下脚本实现了与上述图形界面完全相同的功能：创建登录名，并在指定数据库中创建关联用户赋予读写权限。
-- 1. 切换到 master 数据库创建登录名 USE [master] GO CREATE LOGIN [AppUser] WITH PASSWORD = N'YourStrongPassword123!', DEFAULT_DATABASE = [TestDB], CHECK_EXPIRATION = OFF, CHECK_POLICY = OFF GO -- 2. 切换到目标业务数据库 USE [TestDB] GO -- 3. 为登录名创建对应的数据库用户 CREATE USER [AppUser] FOR LOGIN [AppUser] GO -- 4. 将数据库用户加入读写角色 ALTER ROLE [db_datareader] ADD MEMBER [AppUser] GO ALTER ROLE [db_datawriter] ADD MEMBER [AppUser] GO
三、 权限验证与连接测试
完成上述设置后，建议进行验证以确保账号权限严格符合预期。
1. 测试正常读写
打开新的 SSMS 窗口，使用 SQL Server 身份验证，输入刚创建的 AppUser 及密码进行连接。尝试对 TestDB 中的表执行 SELECT、INSERT、UPDATE 操作，应该均能成功。
如果是在应用程序中配置连接字符串，参考格式如下：
Server=www.ipipp.com;Database=TestDB;User Id=AppUser;Password=YourStrongPassword123!;
2. 测试越权隔离
仍以 AppUser 身份连接，尝试执行以下越权操作：
尝试访问其他数据库（如
USE [OtherDB]），系统应报错提示无法访问。尝试创建新表（
CREATE TABLE ...）或删除表（DROP TABLE ...），系统应报错提示权限不足。
若越权操作均被拦截，说明最小权限控制生效，配置完成。
四、 注意事项
dbo 默认架构问题：如果不指定默认架构，新建用户可能会默认使用 dbo 架构。建议在创建用户时明确指定架构，如
CREATE USER [AppUser] FOR LOGIN [AppUser] WITH DEFAULT_SCHEMA = [dbo]，避免因架构冲突导致对象找不到的问题。精细化权限控制：如果只需授予特定表的读写权限，而非整个数据库，则不要添加 db_datareader/db_datawriter 角色，应改用 GRANT 语句，例如：
GRANT SELECT, INSERT ON SCHEMA::[dbo] TO [AppUser]。