Question

SQL Server 2016将有哪些功能改进

Answer 1

　　在使用行级安全时，用户无法看到他们不能访问的行。这就好像在访问表时自动增加一个额外的、安全相关的where子句。
由于其作用像一个where子句，所以有一些局限。
例如，如果用户在那个列上使用了全文搜索索引，那么数据就可能泄露。此外，数据库还可能遭受旁路攻击。微软写道：
通过使用精心设计的查询，可以导致信息泄露。例如，SELECT 1/(SALARY-100000) FROM PAYROLL WHERE NAME=’John Doe’ 会让一个恶意用户知道John Doe的工资是10万美元。即使有一个恰当的安全谓词阻止恶意用户直接查询其它人的工资，他也可以在查询返回“除数为0”的异常时确定工资数额。
此外，信息也可能通过统计对象泄露。为了降低风险，查看受保护列统计信息的用户必须是“表的所有者，或者是服务器固有角色sysadmin、数据库固有角色db_owner或db_ddladmin的成员”。