SQL存储过程的权限管理是数据库安全体系中的重要环节，不当的权限配置很容易引发权限泄露问题，而最小权限原则是解决这类问题的核心指导思路，通过合理的权限管控可以从根源上减少安全风险。
SQL存储过程权限泄露的常见场景
存储过程权限泄露通常出现在以下几种场景中，了解这些场景有助于我们提前规避风险：
- 给普通业务用户授予了存储过程的
EXECUTE权限，但该存储过程内部包含敏感数据的查询或修改逻辑 - 存储过程的所有者权限过高，且被其他用户通过存储过程间接获取了超出自身角色的权限
- 开发测试环境的存储过程权限配置直接同步到生产环境，导致测试账号也能访问生产数据
- 冗余权限未及时清理，已经离职的员工或废弃业务的账号仍然保有存储过程的执行权限
如何排查存储过程权限泄露问题
SQL Server环境下的排查方法
在SQL Server中，我们可以通过系统视图查询指定存储过程的权限分配情况，以下是查询存储过程usp_GetUserInfo权限的示例代码：
-- 查询存储过程usp_GetUserInfo的所有权限分配记录
SELECT
dp.name AS 用户名,
p.permission_name AS 权限类型,
p.state_desc AS 权限状态
FROM sys.database_permissions p
JOIN sys.database_principals dp ON p.grantee_principal_id = dp.principal_id
JOIN sys.objects o ON p.major_id = o.object_id
WHERE o.name = 'usp_GetUserInfo'
AND o.type = 'P'; -- P代表存储过程类型
MySQL环境下的排查方法
MySQL中可以通过information_schema库的表查询存储过程权限，以下是查询所有存储过程权限分配的示例代码：
-- 查询所有存储过程的权限分配信息
SELECT
ROUTINE_NAME AS 存储过程名,
GRANTEE AS 授权对象,
PRIVILEGE_TYPE AS 权限类型
FROM information_schema.ROUTINE_PRIVILEGES
WHERE ROUTINE_SCHEMA = 'your_database_name'; -- 替换为实际数据库名
基于最小权限原则配置存储过程权限
最小权限原则要求只给用户授予完成其工作所必需的最小权限，避免过度授权，具体配置可以按照以下步骤执行：
1. 梳理存储过程的业务用途
首先明确每个存储过程的功能边界，确定哪些角色的用户需要调用该存储过程，例如报表类存储过程仅需要给报表查询角色授权，数据修改类存储过程仅给业务写入角色授权。
2. 撤销冗余权限
对于排查出来的多余权限，需要及时撤销，以下是不同数据库撤销权限的示例：
SQL Server撤销存储过程执行权限代码：
-- 撤销用户TestUser对存储过程usp_GetUserInfo的EXECUTE权限 REVOKE EXECUTE ON usp_GetUserInfo FROM TestUser;
MySQL撤销存储过程执行权限代码：
-- 撤销用户test_user对存储过程usp_calc_order的EXECUTE权限 REVOKE EXECUTE ON PROCEDURE your_database_name.usp_calc_order FROM 'test_user'@'localhost';
3. 按需授予最小权限
仅给需要的用户授予EXECUTE权限，避免授予存储过程所属表的直接操作权限，以下是授权的示例：
SQL Server授予权限代码：
-- 给报表角色ReportRole授予存储过程usp_GetReportData的执行权限 GRANT EXECUTE ON usp_GetReportData TO ReportRole;
MySQL授予权限代码：
-- 给业务用户biz_user授予存储过程usp_add_order的执行权限 GRANT EXECUTE ON PROCEDURE your_database_name.usp_add_order TO 'biz_user'@'192.168.0.1';
4. 定期审计权限配置
建议每月对存储过程权限进行一次审计，清理废弃账号的权限，检查新增存储过程的权限配置是否符合最小权限要求，同时避免将存储过程的所有者设置为高权限的sa或者root账号。
注意事项
如果存储过程内部需要访问其他表的敏感数据，不要直接给调用用户授予这些表的查询权限，可以在存储过程内部使用所有者权限执行，这样调用用户仅需要存储过程的执行权限即可，无需额外表的权限。另外，对于包含动态SQL的存储过程，要额外检查动态SQL中的权限逻辑，避免出现权限绕过的问题。