数据库角色和权限管理

‘壹’ 关于数据库的权限管理问题

这两个命令其实有很大的区别，我举个例子方便说明吧：
设数据库用户帐户 userA 拥有 employees 表的 select 权限，同时又属于 db_datareader 数据库角色；
如果使用 revoke select on employees from userA; 语句，仅仅是取消了显示授予用户帐户的 select 权限；userA 同样可以通过 db_datareader 角色获得读取 employees 表的权限；
而如果使用 deny select on employees to userA; 语句，则可以彻底禁止 userA 读取 employees 表，因为在评估权限时，deny 优先于通过其他任何方式获取的权限。

‘贰’ 怎样设置sql server 2008数据库的使用者和权限

首先打开数据库，并以windows身份验证模式扥牢固数据库；

然后在左侧的【对象资源管理器中】展开【安全性】节点，鼠标右键点击节点中的【登录名】，在弹出的菜单中单击【新建登录名】

1. 在登录名右侧的文本框中输入新建的管理员账号名称；

2. 一对单选按钮组中，选择Sql Server 身份验证，并输入登录密码；

3. 勾选强制实施密码策略复选框；（密码策略一般是指加强用户登录的密码方式例如：可能需要至少8个以上字符，或在尝试若干登陆失败后该账号即被禁止登陆等等！如果觉得麻烦可以不必勾选！）。

4. 不勾选强制密码过期；（如果勾选该项的话，则每一次登陆后系统都会提示用户必须更改现有密码，如非特殊需求，不建议勾选此项！）。

然后继续点选左侧选项页下的【服务器角色】；

在右侧的服务器角色面板中，勾选 public 和 sysadmin 两项！

注意：如果建立的账号不需要具备系统管理员的权限时，则不要勾选 sysadmin 项！

继续点选左侧选项页中的【用户映射】。

在右侧的面板中勾选该账号可以进行管理操作的数据库名称!并在该面板下面的【数据库角色成员身份】中勾选 db_owner 项！

注意：如果给一个无系统管理权限的账号指定管理一个数据库时，则一定要勾选 db_owner 项！否则该账号则无法看到该数据库中的任何数据表！

选后点选【选择页】下的【状态】选项进行设置

‘叁’ 数据库中用户与角色权限管理各有什么作用

用户（User）只针对某个人管理；
角色（Role）可以针对一批人（该角色下的所有用户）实施统一的管理策略。

通常，高效的管理就是：
1、先对角色管理；
2、再对角色中某个特例用户进行管理。

‘肆’ 数据库的固定服务器角色有8种，他们分别都有什么权限请行家指点

8的等级最高，相当于sqlserver的sa账户和oracle的sysadmin，可以做一切操作，包括以下七种角色，事实上一般以下七种角色的权限都是他来指派的，企业中一般严禁这个账户登陆的，因为一旦误操作将会造成灾难性损失。
1管理数据库大小，数据空间大小以及数据日志大小等
2拥有建立数据库的权限
3对已经分配磁盘空间进行分配
4可以管理进程，比如剔除一些非法进程
5可以管理连接权限，用户权限等。
6这个可以启动服务器，对服务器的属性进行分配（连接池、cpu、内存空间等），貌似是sqlserver特有
7这个角色很多数据库是没有的，oracle8以前好像也是没有的，可以安装数据库以及删除数据库（在非常安全控制地方这种账户是没有连接权限的，也就是说只能安装，但是不能读取里面的数据）

这些权限各不相同，所以很难说是对服务器的还是数据库的，比如7这种，根本说不上是不是服务器级别的，因为它只有安装权限，可以认为是系统级别的，事实上，只有sqlserver存在服务器和数据库的区别，一般的诸如db2和oracle中的所谓服务器指的是那台机器而不是一个sqlserver意义上的服务器，具体情况具体对待

其实主要角色不止这些，还有诸如备份管理员backupadmin，数据清理员英文忘记了等等。

‘伍’ MySQL 数据库，如何分角色权限建表

角色一直存在各个数据库中，比如 SQL Server、Oracle 等，MySQL 自从版本 8.0 release，引入了角色这个概念。

角色的概念

角色就是一组针对各种数据库权限的集合。比如，把一个角色分配给一个用户，那这个用户就拥有了这个角色包含的所有权限。一个角色可以分配给多个用户，另外一个用户也可以拥有多个角色，两者是多对多的关系。不过 MySQL 角色目前还没有提供类似于其他数据库的系统预分配的角色。比如某些数据库的 db_owner、 db_datareader 、 db_datawriter 等等。那接下来我分几个方面，来示例说明角色的使用以及相关注意事项。

示例 1：一个完整角色的授予步骤

用管理员创建三个角色：db_owner, db_datareader, db_datawriter

• mysql> create role db_owner,db_datareader,db_datawriter;

• Query OK, 0 rows affected (0.02 sec)

• mysql> grant all on ytt_new.* to db_owner;

• Query OK, 0 rows affected (0.01 sec)

• mysql> grant select on ytt_new.* to db_datareader;

• Query OK, 0 rows affected (0.01 sec)

• mysql> grant insert,delete,update on ytt_new.* to db_datawriter;

• Query OK, 0 rows affected (0.01 sec)

• 创建三个普通用户，分别为 ytt1、ytt2、ytt3。mysql> create user ytt1 identified by 'ytt',ytt2 identified by 'ytt',ytt3 identified by 'ytt';Query OK, 0 rows affected (0.01 sec)


• 分别授予这三个用户对应的角色。

• -- 授权角色

• mysql> grant db_owner to ytt1;

• Query OK, 0 rows affected (0.02 sec)

• -- 激活角色

• mysql> set default role db_owner to ytt1;

• Query OK, 0 rows affected (0.00 sec)

• mysql> grant db_datareader to ytt2;

• Query OK, 0 rows affected (0.01 sec)

• mysql> set default role db_datareader to ytt2;

• Query OK, 0 rows affected (0.01 sec)

• mysql> grant db_datawriter to ytt3;

• Query OK, 0 rows affected (0.01 sec)

• mysql> set default role db_datawriter to ytt3;

• Query OK, 0 rows affected (0.01 sec)

• 以上是角色授予的一套完整步骤。那上面有点非常规的地方是激活角色这个步骤。MySQL 角色在创建之初默认是没有激活的，也就是说创建角色，并且给一个用户特定的角色，这个用户其实并不能直接使用这个角色，除非激活了才可以。

示例 2：一个用户可以拥有多个角色

• -- 用管理员登录并且创建用户

• mysql> create user ytt4 identified by 'ytt';

• Query OK, 0 rows affected (0.00 sec)

• -- 把之前的三个角色都分配给用户ytt4.

• mysql> grant db_owner,db_datareader,db_datawriter to ytt4;

• Query OK, 0 rows affected (0.01 sec)

• -- 激活用户ytt4的所有角色.

• mysql> set default role all to ytt4;

• Query OK, 0 rows affected (0.02 sec)

• -- ytt4 用户登录

• root@ytt-pc:/var/lib/mysql# mysql -uytt4 -pytt -P3304 -hytt-pc

• ...

• -- 查看当前角色列表

• mysql> select current_role();

• +--------------------------------------------------------+

• | current_role() |

• +--------------------------------------------------------+

• | `db_datareader`@`%`,`db_datawriter`@`%`,`db_owner`@`%` |

• +--------------------------------------------------------+

• 1 row in set (0.00 sec)

• -- 简单创建一张表并且插入记录， 检索记录，完了删掉这张表

• mysql> use ytt_new

• Database changed

• mysql> create table t11(id int);

• Query OK, 0 rows affected (0.05 sec)

• mysql> insert into t11 values (1);

• Query OK, 1 row affected (0.02 sec)

• mysql> select * from t11;

• +------+

• | id |

• +------+

• | 1 |

• +------+

• 1 row in set (0.00 sec)

• mysql> drop table t11;

• Query OK, 0 rows affected (0.04 sec)

• 示例 3：用户在当前 session 里角色互换

其实意思是说，用户连接到 MySQL 服务器后，可以切换当前的角色列表，比如由 db_owner 切换到 db_datareader。

• -- 还是之前的用户ytt4, 切换到db_datareader

• mysql> set role db_datareader;

• Query OK, 0 rows affected (0.00 sec)

• mysql> select current_role();

• +---------------------+

• | current_role() |

• +---------------------+

• | `db_datareader`@`%` |

• +---------------------+

• 1 row in set (0.00 sec)

• -- 切换后，没有权限创建表

• mysql> create table t11(id int);

• ERROR 1142 (42000): CREATE command denied to user 'ytt4'@'ytt-pc' for table 't11'

• -- 切换到 db_owner，恢复所有权限。

• mysql> set role db_owner;

• Query OK, 0 rows affected (0.00 sec)

• mysql> create table t11(id int);

• Query OK, 0 rows affected (0.04 sec)

示例 4：关于角色的两个参数

• activate_all_roles_on_login：是否在连接 MySQL 服务时自动激活角色mandatory_roles：强制所有用户默认角色

• -- 用管理员连接MySQL,

• -- 设置默认激活角色

• mysql> set global activate_all_roles_on_login=on;

• Query OK, 0 rows affected (0.00 sec)

• -- 设置强制给所有用户赋予角色db_datareader

• mysql> set global mandatory_roles='db_datareader';

• Query OK, 0 rows affected (0.00 sec)

• -- 创建用户ytt7.

• mysql> create user ytt7;

• Query OK, 0 rows affected (0.01 sec)

• -- 用 ytt7登录数据库

• root@ytt-pc:/var/lib/mysql# mysql -uytt7 -P3304 -hytt-pc

• ...

• mysql> show grants;

• +-------------------------------------------+

• | Grants for ytt7@% |

• +-------------------------------------------+

• | GRANT USAGE ON *.* TO `ytt7`@`%` |

• | GRANT SELECT ON `ytt_new`.* TO `ytt7`@`%` |

• | GRANT `db_datareader`@`%` TO `ytt7`@`%` |

• +-------------------------------------------+

• 3 rows in set (0.00 sec)

示例 5 ：create role 和 create user 都有创建角色权限，两者有啥区别？

• 以下分别创建两个用户 ytt8、ytt9，一个给 create role，一个给 create user 权限。

• -- 管理员登录，创建用户ytt8,ytt9.

• mysql> create user ytt8,ytt9;

• Query OK, 0 rows affected (0.01 sec)

• mysql> grant create role on *.* to ytt8;

• Query OK, 0 rows affected (0.02 sec)

• mysql> grant create user on *.* to ytt9;

• Query OK, 0 rows affected (0.01 sec)

• -- 用ytt8 登录，

• root@ytt-pc:/var/lib/mysql# mysql -uytt8 -P3304 -hytt-pc

• ...

• mysql> create role db_test;

• Query OK, 0 rows affected (0.02 sec)

• -- 可以创建角色，但是不能创建用户

• mysql> create user ytt10;

• ERROR 1227 (42000): Access denied; you need (at least one of) the CREATE USER privilege(s) for this operation

• mysql> q

• Bye

• -- 用ytt9 登录

• root@ytt-pc:/var/lib/mysql# mysql -uytt9 -P3304 -hytt-pc

• ...

• -- 角色和用户都能创建

• mysql> create role db_test2;

• Query OK, 0 rows affected (0.02 sec)

• mysql> create user ytt10;

• Query OK, 0 rows affected (0.01 sec)

• mysql> q

• Bye

• 那这里其实看到 create user 包含了 create role，create user 即可以创建用户，也可以创建角色。

示例 6：MySQL 用户也可以当角色来用

• -- 用管理员登录，创建用户ytt11,ytt12.

• mysql> create user ytt11,ytt12;

• Query OK, 0 rows affected (0.01 sec)

• mysql> grant select on ytt_new.* to ytt11;

• Query OK, 0 rows affected (0.01 sec)

• -- 把ytt11普通用户的权限授予给ytt12

• mysql> grant ytt11 to ytt12;

• Query OK, 0 rows affected (0.01 sec)

• -- 来查看 ytt12的权限，可以看到拥有了ytt11的权限

• mysql> show grants for ytt12;

• +-----------------------------------+

• | Grants for ytt12@% |

• +-----------------------------------+

• | GRANT USAGE ON *.* TO `ytt12`@`%` |

• | GRANT `ytt11`@`%` TO `ytt12`@`%` |

• +-----------------------------------+

• 2 rows in set (0.00 sec)

• -- 在细化点，看看ytt12拥有哪些具体的权限

• mysql> show grants for ytt12 using ytt11;

• +--------------------------------------------+

• | Grants for ytt12@% |

• +--------------------------------------------+

• | GRANT USAGE ON *.* TO `ytt12`@`%` |

• | GRANT SELECT ON `ytt_new`.* TO `ytt12`@`%` |

• | GRANT `ytt11`@`%` TO `ytt12`@`%` |

• +--------------------------------------------+

• 3 rows in set (0.00 sec)

示例 7：角色的撤销

• 角色撤销和之前权限撤销类似。要么 revoke，要么删除角色，那这个角色会从所有拥有它的用户上移除。

• -- 用管理员登录，移除ytt2的角色

• mysql> revoke db_datareader from ytt2;

• Query OK, 0 rows affected (0.01 sec)

• -- 删除所有角色

• mysql> drop role db_owner,db_datareader,db_datawriter;

• Query OK, 0 rows affected (0.01 sec)

• -- 对应的角色也从ytt1上移除掉了

• mysql> show grants for ytt1;

• +----------------------------------+

• | Grants for ytt1@% |

• +----------------------------------+

• | GRANT USAGE ON *.* TO `ytt1`@`%` |

• +----------------------------------+

• 1 row in set (0.00 sec)

至此，我分了 7 个目录说明了角色在各个方面的使用以及注意事项，希望对大家有帮助。

‘陆’ 数据库菜鸟问题：请教sql server里面的角色和权限之间关系

服务器角色
sysadmin:执行任何活动
dbcreator:可以创建，更改数据库
serveradmin：可以更改服务器范围的配置选项个关闭服务器
securityadmin:管理和审核登陆帐户
processadmin:可以终止SQL SERVER实例进程

角色就想WINDOWS中的组一样，将帐户加入到某种角色，同种角色中的帐户拥有的权限都一样

‘柒’ PostgreSQL的用户，角色跟权限管理怎么解决

Pg权限分为两部分，一部分是“系统权限”或者数据库用户的属性，可以授予role或user（两者区别在于login权限）；一部分为数据库对象上的操作权限。对超级用户不做权限检查，其它走acl。对于数据库对象，开始只有所有者和超级用户可以做任何操作，其它走acl。在pg里，对acl模型做了简化，组和角色都是role，用户和角色的区别是角色没有login权限。

可以用下面的命令创建和删除角色，
CREATE ROLE name;
DROP ROLE name;
为了方便，也可以在 shell 命令上直接调用程序 createuser 和 dropuser，这些工具对相应命令提供了封装:
createuser name
dropuser name

数据库对象上的权限有：SELECT，INSERT， UPDATE，DELETE，RULE， REFERENCES，TRIGGER，CREATE， TEMPORARY，EXECUTE，和 USAGE等，具体见下面定义

typedefuint32AclMode; /* a bitmask of privilege bits */

#define ACL_INSERT (1<<0) /* forrelations */
#defineACL_SELECT (1<<1)
#defineACL_UPDATE (1<<2)
#defineACL_DELETE (1<<3)
#defineACL_TRUNCATE (1<<4)
#defineACL_REFERENCES (1<<5)
#defineACL_TRIGGER (1<<6)
#defineACL_EXECUTE (1<<7) /* for functions */
#defineACL_USAGE (1<<8) /* for languages, namespaces, FDWs, and
* servers */
#defineACL_CREATE (1<<9) /* for namespaces and databases */
#defineACL_CREATE_TEMP (1<<10) /* for databases */
#defineACL_CONNECT (1<<11) /* for databases */
#defineN_ACL_RIGHTS 12 /* 1plus the last 1<
#defineACL_NO_RIGHTS 0
/*Currently, SELECT ... FOR UPDATE/FOR SHARE requires UPDATE privileges */
#defineACL_SELECT_FOR_UPDATE ACL_UPDATE

我们可以用特殊的名字 PUBLIC 把对象的权限赋予系统中的所有角色。 在权限声明的位置上写 ALL，表示把适用于该对象的所有权限都赋予目标角色。
beigang=# grantall on schema csm_ca to public;
GRANT
beigang=# revoke all on schema csm_ca frompublic;
REVOKE
beigang=#

每种对象的all权限定义如下：
/*
* Bitmasks defining "allrights" for each supported object type
*/
#defineACL_ALL_RIGHTS_COLUMN (ACL_INSERT|ACL_SELECT|ACL_UPDATE|ACL_REFERENCES)
#defineACL_ALL_RIGHTS_RELATION (ACL_INSERT|ACL_SELECT|ACL_UPDATE|ACL_DELETE|ACL_TRUNCATE|ACL_REFERENCES|ACL_TRIGGER)
#defineACL_ALL_RIGHTS_SEQUENCE (ACL_USAGE|ACL_SELECT|ACL_UPDATE)
#defineACL_ALL_RIGHTS_DATABASE (ACL_CREATE|ACL_CREATE_TEMP|ACL_CONNECT)
#define ACL_ALL_RIGHTS_FDW (ACL_USAGE)
#defineACL_ALL_RIGHTS_FOREIGN_SERVER (ACL_USAGE)
#defineACL_ALL_RIGHTS_FUNCTION (ACL_EXECUTE)
#defineACL_ALL_RIGHTS_LANGUAGE (ACL_USAGE)
#defineACL_ALL_RIGHTS_LARGEOBJECT (ACL_SELECT|ACL_UPDATE)
#defineACL_ALL_RIGHTS_NAMESPACE (ACL_USAGE|ACL_CREATE)
#defineACL_ALL_RIGHTS_TABLESPACE (ACL_CREATE)

用户的属性可参见下图：
视图 pg_roles提供访问数据库角色有关信息的接口。 它只是一个 pg_authid 表的公开可读部分的视图，把口令字段用空白填充了。
Table 42-39.pg_roles字段
名字
类型
引用
描述
rolname
name

角色名
rolsuper
bool

有超级用户权限的角色
rolcreaterole
bool

可以创建更多角色的角色
rolcreatedb
bool

可以创建数据库的角色
rolcatupdate
bool

可以直接更新系统表的角色。（除非这个字段为真，否则超级用户也不能干这个事情。）
rolcanlogin
bool

可以登录的角色，也就是说，这个角色可以给予初始化会话认证的标识符。
rolpassword
text

不是口令（总是 ********）
rolvalintil
timestamptz

口令失效日期（只用于口令认证）；如果没有失效期，为 NULL
rolconfig
text[]

运行时配置变量的会话缺省

‘捌’ 数据库角色成员身份 哪个是管理员权限

数据库级别的角色名称及说明
db_owner
固定数据库角色的成员可以执行数据库的所有配置和维护活动，还可以删除数据库。
db_securityadmin
固定数据库角色的成员可以修改角色成员身份和管理权限。向此角色中添加主体可能会导致意外的权限升级。
db_accessadmin
固定数据库角色的成员可以为
Windows
登录名、Windows
组和
SQL
Server
登录名添加或删除数据库访问权限。
db_backupoperator
固定数据库角色的成员可以备份数据库。
db_ddladmin
固定数据库角色的成员可以在数据库中运行任何数据定义语言
(DDL)
命令。
db_datawriter
固定数据库角色的成员可以在所有用户表中添加、删除或更改数据。
db_datareader
固定数据库角色的成员可以从所有用户表中读取所有数据。
db_denydatawriter
固定数据库角色的成员不能添加、修改或删除数据库内用户表中的任何数据。
db_denydatareader
固定数据库角色的成员不能读取数据库内用户表中的任何数据。
有关数据库级固定角色权限的特定信息，请参阅固定数据库角色的权限（数据库引擎）。
msdb
角色
msdb
数据库中包含下表显示的特殊用途的角色。
msdb
角色名称及说明
db_ssisadmin
db_ssisoperator
db_ssisltser

‘玖’ SQL数据库的角色的定义，分类及角色的权限分配操作

角色是一个强大的工具，使您得以将用户集中到一个单元中，然后对该单元应用权限。对一个角色授予、拒绝或废除的权限也适用于该角色的任何成员。可以建立一个角色来代表单位中一类工作人员所执行的工作，然后给这个角色授予适当的权限。当工作人员开始工作时，只须将他们添加为该角色成员，当他们离开工作时，将他们从该角色中删除。而不必在每个人接受或离开工作时，反复授予、拒绝和废除其权限。权限在用户成为角色成员时自动生效。

Microsoft® Windows NT® 和 Windows® 2000 组的使用方式与角色很相似。有关更多信息，请参见组。

如果根据工作职能定义了一系列角色，并给每个角色指派了适合这项工作的权限，则很容易在数据库中管理这些权限。之后，不用管理各个用户的权限，而只须在角色之间移动用户即可。如果工作职能发生改变，则只须更改一次角色的权限，并使更改自动应用于角色的所有成员，操作比较容易。

在 Microsoft® SQL Server™ 2000 和 SQL Server 7.0 版中，用户可属于多个角色。

以下脚本说明登录、用户和角色的添加，并为角色授予权限。

USE master

GO

sp_grantlogin 'NETDOMAIN\John'

GO

sp_defaultdb 'NETDOMAIN\John', 'courses'

GO

sp_grantlogin 'NETDOMAIN\Sarah'

GO

sp_defaultdb 'NETDOMAIN\Sarah', 'courses'

GO

sp_grantlogin 'NETDOMAIN\Betty'

GO

sp_defaultdb 'NETDOMAIN\Betty', 'courses'

GO

sp_grantlogin 'NETDOMAIN\Ralph'

GO

sp_defaultdb 'NETDOMAIN\Ralph', 'courses'

GO

sp_grantlogin 'NETDOMAIN\Diane'

GO

sp_defaultdb 'NETDOMAIN\Diane', 'courses'

GO

USE courses

GO

sp_grantdbaccess 'NETDOMAIN\John'

GO

sp_grantdbaccess 'NETDOMAIN\Sarah'

GO

sp_grantdbaccess 'NETDOMAIN\Betty'

GO

sp_grantdbaccess 'NETDOMAIN\Ralph'

GO

sp_grantdbaccess 'NETDOMAIN\Diane'

GO

sp_addrole 'Professor'

GO

sp_addrole 'Student'

GO

sp_addrolemember 'Professor', 'NETDOMAIN\John'

GO

sp_addrolemember 'Professor', 'NETDOMAIN\Sarah'

GO

sp_addrolemember 'Professor', 'NETDOMAIN\Diane'

GO

sp_addrolemember 'Student', 'NETDOMAIN\Betty'

GO

sp_addrolemember 'Student', 'NETDOMAIN\Ralph'

GO

sp_addrolemember 'Student', 'NETDOMAIN\Diane'

GO

GRANT SELECT ON StudentGradeView TO Student

GO

GRANT SELECT, UPDATE ON ProfessorGradeView TO Professor

GO

该脚本给 John 和 Sarah 教授提供了更新学生成绩的权限，而学生 Betty 和 Ralph 只能选择他们自己的成绩。Diane 因同时教两个班，所以添加到两个角色中。ProfessorGradeView 视图应将教授限制在自己班学生的行上，而 StudentGradeView 应限制学生只能选择自己的成绩。

SQL Server 2000 和 SQL Server 7.0 版在安装过程中定义几个固定角色。可以在这些角色中添加用户以获得相关的管理权限。下面是服务器范围内的角色。

固定服务器角色
描述

sysadmin
可以在 SQL Server 中执行任何活动。

serveradmin
可以设置服务器范围的配置选项，关闭服务器。

setupadmin
可以管理链接服务器和启动过程。

securityadmin
可以管理登录和 CREATE DATABASE 权限，还可以读取错误日志和更改密码。

processadmin
可以管理在 SQL Server 中运行的进程。

dbcreator
可以创建、更改和除去数据库。

diskadmin
可以管理磁盘文件。

bulkadmin
可以执行 BULK INSERT 语句。

可以从 sp_helpsrvrole 获得固定服务器角色的列表，可以从 sp_srvrolepermission 获得每个角色的特定权限。

每个数据库都有一系列固定数据库角色。虽然每个数据库中都存在名称相同的角色，但各个角色的作用域只是在特定的数据库内。例如，如果 Database1 和 Database2 中都有叫 UserX 的用户 ID，将 Database1 中的 UserX 添加到 Database1 的 db_owner 固定数据库角色中，对 Database2 中的 UserX 是否是 Database2 的 db_owner 角色成员没有任何影响。

固定数据库角色
描述

db_owner
在数据库中有全部权限。

db_accessadmin
可以添加或删除用户 ID。

db_securityadmin
可以管理全部权限、对象所有权、角色和角色成员资格。

db_ddladmin
可以发出 ALL DDL，但不能发出 GRANT、REVOKE 或 DENY 语句。

db_backupoperator
可以发出 DBCC、CHECKPOINT 和 BACKUP 语句。

db_datareader
可以选择数据库内任何用户表中的所有数据。

db_datawriter
可以更改数据库内任何用户表中的所有数据。

db_denydatareader
不能选择数据库内任何用户表中的任何数据。

db_denydatawriter
不能更改数据库内任何用户表中的任何数据。

可以从 sp_helpdbfixedrole 获得固定数据库角色的列表，可以从 sp_dbfixedrolepermission 获得每个角色的特定权限。

数据库中的每个用户都属于 public 数据库角色。如果想让数据库中的每个用户都能有某个特定的权限，则将该权限指派给 public 角色。如果没有给用户专门授予对某个对象的权限，他们就使用指派给 public 角色的权限。

‘拾’ 如何设置数据库的权限

1、首先用管理员进入数据库级中的安全性，点击登录名，点击新建登录名。