SQL Server 2000 禁止用戶創建表：數據庫權限最小化實戰

方法二：T-SQL 腳本化（可納入部署流程）

-- 1. 創建專用數據庫角色（若不存在）
IF NOT EXISTS (SELECT * FROM sysusers WHERE name = 'web_app_role' AND issqlrole = 1)
    EXEC sp_addrole 'web_app_role';
GO

-- 2. 授予最小 DML 權限（按表粒度更安全，此處示例庫級）
GRANT SELECT, INSERT, UPDATE, DELETE, EXECUTE ON DATABASE::jb51net TO web_app_role;
-- 或針對具體表：
-- GRANT SELECT, INSERT, UPDATE, DELETE ON dbo.Orders TO web_app_role;

-- 3. 明確拒絕 DDL 權限（拒絕優先於授予）
DENY CREATE TABLE, CREATE VIEW, CREATE PROCEDURE, CREATE FUNCTION, 
     ALTER ANY SCHEMA, BACKUP DATABASE, BACKUP LOG TO web_app_role;
GO

-- 4. 將 Web 連接用戶加入角色
EXEC sp_addrolemember 'web_app_role', 'web_user';
GO

-- 5. 移除用戶原有的高權限角色（如 db_ddladmin, db_owner）
EXEC sp_droprolemember 'db_ddladmin', 'web_user';
EXEC sp_droprolemember 'db_owner', 'web_user';
GO

驗證測試

-- 使用 Web 賬戶上下文測試
EXECUTE AS USER = 'web_user';
GO
CREATE TABLE dxytmp (name VARCHAR(255), id INT);  -- 預期失敗
GO
REVERT;
GO

預期報錯：「許可權被拒絕，無法在數據庫 'jb51net' 中創建表 'dxytmp'。」 即配置生效。

配套加固清單

• [ ] 修復所有 SQL 注入點（參數化查詢、存儲過程、ORM）。
• [ ] 數據庫賬戶密碼複雜度、定期輪換、最小權限原則。
• [ ] 禁用 sa、重命名 sa、限制 sa 登錄 IP。
• [ ] 開啟登錄審計（失敗/成功），異常 DDL 告警。
• [ ] 文件系統層面：網站目錄寫入權限最小化，禁用腳本執行權限。
• [ ] WAF/防火牆層面：攔截含 CREATE/ALTER/DROP 的異常請求。

權限收口是資料庫安全的最後一道防線，**「只給幹活的權限，不給搞破壞的權限」**。