Обмежити оновлення для певних стовпців. Дозволити збережену процедуру оновлювати ці стовпці

У мене є чутливі стовпці цін, які я хотів би оновити лише через збережену процедуру. Я хотів би, щоб усі кодові чи ручні спроби зміни значень у цих цінових стовпцях вийшли з ладу, якщо він не використовує збережені процедури, призначені для його оновлення.

Я розглядаю можливість здійснення цього за допомогою тригерів та таблиці лексем. Я розглядаю ідею - мати таблицю лексем. збережені процедури повинні спочатку вставити значення в таблицю токенів. Потім оновіть стовпці цін. Тригер оновлення перевірить, чи існує маркер у таблиці лексем для оновленого рядка. Якщо його знайдуть, це продовжиться. якщо маркер не знайдений, він викине виняток і призведе до помилки транзакції оновлення.

Чи існує хороший / кращий спосіб здійснити це обмеження?

SQL Server дозволяє дозволи на рівні стовпців. Просто для прикладу:

GRANT UPDATE ON dbo.Person (FirstName, LastName) TO SampleRole;
DENY UPDATE ON dbo.Person (Age, Salary) TO SampleRole;

-- prevent your web app user from updating that column directly:

DENY UPDATE ON dbo.YourTable(Price) TO WebApplicationUserName;
GO

-- create a stored procedure while logged in as sysadmin:

CREATE PROCEDURE dbo.UpdateYourTable
  @ProductID INT,
  @Price DECIMAL(10,2)
WITH EXECUTE AS OWNER
AS
BEGIN
  SET NOCOUNT ON;

  UPDATE dbo.YourTable 
    SET Price = @Price
    WHERE ProductID = @ProductID;
END
GO

-- grant explicit access only to that stored procedure to the web app user:

GRANT EXEC ON dbo.UpdateYourTable TO WebApplicationUserName;

Якщо всі ваші користувачі мають однаковий логін (ouch, BTW), тут є ще один варіант

• відкликати права оновлення у цього користувача (або ролі, якщо ви робите це таким чином).
• Змініть збережену програму із застереженням "виконувати як власника"
• тоді збережена програма виконуватиметься з правами користувача, якому належить схема, в якій вона перебуває (якщо вона є dbo, то ви вже охоплені).

У постійних користувачів додатків бракує прав на оновлення цієї таблиці, тому вони не зможуть оновити її іншим способом.