sql-server – 在sql server 2012中设置trustworthy =的安全风险

我的开发数据库中出现以下错误：

A .NET Framework error occurred during execution of user-defined routine or aggregate "SpCreateTable": 
System.Security.HostProtectionException: Attempted to perform an operation that was forbidden by the CLR host.

The protected resources (only available with full trust) were: All
The demanded resources were: Synchronization,ExternalThreading

设置trustworthy = on的正确解决方案是什么？这有什么安全问题？

解决方法

数据库的TRUSTWORTHY属性(设置为ON时)实质上向sql Server声明该数据库中包含的代码,并在模拟上下文中执行,应该允许在保持该模拟安全上下文的同时到达该数据库之外.它还允许将该数据库中的所有sqlCLR程序集设置为EXTERNAL_ACCESS和UNSAFE,无论该代码是否到达服务器外部(外部含义：网络访问,文件系统访问,注册表访问,环境访问等).

它是一种相当通用的方法,因为它涵盖了数据库中的所有代码.使用证书和/或非对称密钥对模块 – proc和/或程序集进行签名 – 允许更精细地控制哪些代码具有哪些权限.

将数据库设置为TRUSTWORTHY还允许从此数据库中启动的任何进程到达服务器级别和/或其他数据库.通常,进程被限制/隔离到它启动的数据库.如果数据库由“sa”登录拥有,那么在该数据库中启动并作为“dbo”运行的任何进程将实际具有“sa”权限(yikes！).

在完全传达有关模仿的详细信息,扩展所述模拟,签署模块等所需的详细信息中,我建议不要试图在此描述,我建议在此主题上仔细阅读以下资源：

> PLEASE,Please,please Stop Using Impersonation,TRUSTWORTHY,and Cross-DB Ownership Chaining
> Guidelines for using the TRUSTWORTHY database setting in SQL Server
> Extending Database Impersonation by Using EXECUTE AS
这是一篇内容丰富的文档,涵盖了本主题的大部分内容,并在上面的链接页面中引用.
> Stairway to SQLCLR Level 4: Security (EXTERNAL and UNSAFE Assemblies)
这是我在sqlCLR系列文章中写的一篇文章,其中有一些例子说明了TRUSTWORTHY方法和基于Signed Assembly的Login方法之间的区别;免费注册是必需的.

您应该尽可能避免将数据库设置为TRUSTWORTHY.如果你真的必须有多线程/异步调用并且如果你有源代码并且正在编译程序集,那么我想不出使用SET TRUSTWORTHY ON选项的原因.相反,您应该使用密码对程序集进行签名,并使用以下命令设置允许EXTERNAL_ACCESS和UNSAFE程序集的首选方法：

USE [master];
  CREATE asymmetric KEY [ClrPermissionsKey]
    AUTHORIZATION [dbo]
    FROM EXECUTABLE FILE = 'C:\path\to\my\assembly.dll';

CREATE LOGIN [ClrPermissionsLogin]
  FROM asymmetric KEY [ClrPermissionsKey];

GRANT UNSAFE ASSEMBLY TO [ClrPermissionsLogin];

一旦到位,您可以转到已加载程序集并运行的数据库：

ALTER ASSEMBLY [MyAssembly] WITH PERMISSION_SET = UNSAFE;

或者您可以在CREATE ASSEMBLY命令的末尾包含WITH PERMISSION_SET = UNSAFE.