REVOKE 数据库主体权限 (Transact-SQL)

项目
05/11/2023

适用于：SQL Server Azure SQL 数据库 Azure SQL 托管实例

撤消授予或拒绝的对数据库用户、数据库角色或应用程序角色的权限。

语法

REVOKE [ GRANT OPTION FOR ] permission [ ,...n ]    
    ON   
    {  [ USER :: database_user ]  
       | [ ROLE :: database_role ]  
       | [ APPLICATION ROLE :: application_role ]  
    }  
    { FROM | TO } <database_principal> [ ,...n ]  
        [ CASCADE ]  
    [ AS <database_principal> ]  
  
<database_principal> ::=  
        Database_user   
    | Database_role   
    | Application_role   
    | Database_user_mapped_to_Windows_User   
    | Database_user_mapped_to_Windows_Group   
    | Database_user_mapped_to_certificate   
    | Database_user_mapped_to_asymmetric_key   
    | Database_user_with_no_login

注意

若要查看 SQL Server 2014 (12.x) 及更早版本的 Transact-SQL 语法，请参阅早期版本文档。

自变量

permission
指定可以撤消的对数据库主体的权限。有关权限的列表，请参阅本主题后面的“备注”部分。

USER ::database_user
指定要撤消对其权限的用户的类和名称。需要使用作用域限定符 (::)。

ROLE ::database_role
指定要撤消对其权限的角色的类和名称。需要使用作用域限定符 (::)。

APPLICATION ROLE ::application_role
适用于：SQL Server 2008 (10.0.x) 及更高版本、SQL 数据库

指定要撤消对其权限的应用程序角色的类和名称。需要使用作用域限定符 (::)。

GRANT OPTION
指示要撤消向其他主体授予指定权限的权限。不会撤消该权限本身。

重要

如果主体具有不带 GRANT 选项的指定权限，则将撤消该权限本身。

CASCADE
指示要撤消的权限也会从此主体授予或拒绝该权限的其他主体中撤消。

注意

如果对授予了 WITH GRANT OPTION 权限的权限执行级联撤消，将同时撤消该权限的 GRANT 和 DENY 权限。

AS <database_principal> 指定一个主体，执行此查询的主体从该主体获得撤销该权限的权利。

Database_user
指定数据库用户。

Database_role
指定数据库角色。

Application_role
适用于：SQL Server 2008 (10.0.x) 及更高版本、SQL 数据库

指定应用程序角色。

Database_user_mapped_to_Windows_User
适用于：SQL Server 2008 (10.0.x) 及更高版本

指定映射到 Windows 用户的数据库用户。

Database_user_mapped_to_Windows_Group
适用于：SQL Server 2008 (10.0.x) 及更高版本

指定映射到 Windows 组的数据库用户。

Database_user_mapped_to_certificate
适用于：SQL Server 2008 (10.0.x) 及更高版本

指定映射到证书的数据库用户。

Database_user_mapped_to_asymmetric_key
适用于：SQL Server 2008 (10.0.x) 及更高版本

指定映射到非对称密钥的数据库用户。

Database_user_with_no_login
指定无相应服务器级主体的数据库用户。

备注

数据库用户权限

数据库用户是一个数据库级的安全对象，包含于权限层次结构中作为其父级的数据库中。下表列出了可撤消的对数据库用户最为具体的限定权限，以及隐含这些权限的更为通用的权限。

数据库用户权限	数据库用户权限隐含的权限	数据库权限隐含的权限
CONTROL	CONTROL	CONTROL
IMPERSONATE	CONTROL	CONTROL
ALTER	CONTROL	ALTER ANY USER
VIEW DEFINITION	CONTROL	VIEW DEFINITION

数据库角色权限

数据库角色是一个数据库级的安全对象，包含于权限层次结构中作为其父级的数据库中。下表列出了可撤消的对数据库角色最为具体的限定权限，以及隐含这些权限的更为通用的权限。

数据库角色权限	数据库角色权限隐含的权限	数据库权限隐含的权限
CONTROL	CONTROL	CONTROL
TAKE OWNERSHIP	CONTROL	CONTROL
ALTER	CONTROL	ALTER ANY ROLE
VIEW DEFINITION	CONTROL	VIEW DEFINITION

应用程序角色权限

应用程序角色是一个数据库级的安全对象，包含于权限层次结构中作为其父级的数据库中。下表列出了可以撤消的对应用程序角色的最为具体的限定权限，以及隐含这些权限的更为通用的权限。

应用程序角色权限	应用程序角色权限隐含的权限	数据库权限隐含的权限
CONTROL	CONTROL	CONTROL
ALTER	CONTROL	ALTER ANY APPLICATION ROLE
VIEW DEFINITION	CONTROL	VIEW DEFINITION

权限

需要对指定主体的 CONTROL 权限或隐含 CONTROL 权限的更高权限。

将某一数据库的 CONTROL 权限授予用户（例如，db_owner 固定数据库角色的成员）后，该用户就可授予对该数据库中任何一个安全对象的任意权限。

示例

A. 撤消一个用户对另一个用户的 CONTROL 权限

以下示例撤消用户 CONTROL 对 AdventureWorks2022 用户 Wanida 的 RolandX 权限。

USE AdventureWorks2022;  
REVOKE CONTROL ON USER::Wanida FROM RolandX;  
GO

B. 撤消被通过 GRANT OPTION 授予了 VIEW DEFINITION 权限的用户对角色的该权限

以下示例撤消数据库用户 VIEW DEFINITION 对 AdventureWorks2022 角色 SammamishParking 的 JinghaoLiu 权限。指定了 CASCADE 选项，因为用户 JinghaoLiu 被通过 VIEW DEFINITION 授予了 WITH GRANT OPTION 权限。

USE AdventureWorks2022;  
REVOKE VIEW DEFINITION ON ROLE::SammamishParking   
    FROM JinghaoLiu CASCADE;  
GO

C. 撤消应用程序角色对用户的 IMPERSONATE 权限

下面的示例撤消 AdventureWorks2022 应用程序角色 IMPERSONATE 对用户 HamithaL 的 AccountsPayable17 权限。

适用于：SQL Server 2008 (10.0.x) 及更高版本、SQL 数据库

USE AdventureWorks2022;  
REVOKE IMPERSONATE ON USER::HamithaL FROM AccountsPayable17;  
GO

另请参阅

GRANT 数据库主体权限 (Transact-SQL)
DENY 数据库主体权限 (Transact-SQL)
sys.database_principals (Transact-SQL)
sys.database_permissions (Transact-SQL)
CREATE USER (Transact-SQL)
CREATE APPLICATION ROLE (Transact-SQL)
CREATE ROLE (Transact-SQL)
GRANT (Transact-SQL)
权限（数据库引擎）
主体（数据库引擎）