适用于：
SQL ServerAzure SQL 数据库Azure SQL 托管实例Azure Synapse Analytics分析平台系统（PDW）Microsoft Fabric 中的 SQL 分析终结点Microsoft Fabric 中的仓库Microsoft Fabric 中的 SQL 数据库
拒绝对 SQL Server 中数据库的权限。
Syntax
DENY <permission> [ ,...n ]
TO <database_principal> [ ,...n ] [ CASCADE ]
[ AS <database_principal> ]
<permission> ::=
permission | ALL [ PRIVILEGES ]
<database_principal> ::=
Database_user
| Database_role
| Application_role
| Database_user_mapped_to_Windows_User
| Database_user_mapped_to_Windows_Group
| Database_user_mapped_to_certificate
| Database_user_mapped_to_asymmetric_key
| Database_user_with_no_login
Arguments
permission 指定可对数据库拒绝的权限。 有关权限的列表，请参阅本主题后面的“备注”部分。
ALL 该选项不拒绝所有可能权限。 拒绝 ALL 等同于拒绝下列权限：BACKUP DATABASE、BACKUP LOG、CREATE DATABASE、CREATE DEFAULT、CREATE FUNCTION、CREATE PROCEDURE、CREATE RULE、CREATE TABLE 和 CREATE VIEW。
PRIVILEGES 包含此参数是为了符合 ISO 标准。 请不要更改 ALL 的行为。
CASCADE 指示要拒绝的权限也会被对指定主体授予权限的主体拒绝。
AS <database_principal> 指定一个主体，执行该查询的主体从该主体获得拒绝授予该权限的权利。
Database_user 指定数据库用户。
Database_role 指定数据库角色。
Application_role 适用于：SQL Server 2008 (10.0.x) 及更高版本、SQL 数据库。
指定应用程序角色。
Database_user_mapped_to_Windows_User 指定映射到 Windows 用户的数据库用户。
Database_user_mapped_to_Windows_Group 指定映射到 Windows 组的数据库用户。
Database_user_mapped_to_certificate 指定映射到证书的数据库用户。
Database_user_mapped_to_asymmetric_key 指定映射到非对称密钥的数据库用户。
Database_user_with_no_login 指定无相应服务器级主体的数据库用户。
Remarks
数据库是安全对象，包含于权限层次结构中作为其父级的服务器中。 下表列出了可拒绝的对数据库最为具体的限定权限，以及隐含这些权限的更为通用的权限。
| 数据库权限 | 数据库权限隐含的权限 | 服务器权限隐含的权限 |
|---|---|---|
| 管理数据库批量操作 适用对象：SQL 数据库。 |
CONTROL | 控制服务器 |
| ALTER | CONTROL | 更改任何数据库 |
| 修改任意应用角色 | ALTER | 控制服务器 |
| 更改任何程序集 | ALTER | 控制服务器 |
| 更改任何非对称密钥 | ALTER | 控制服务器 |
| 修改任何证书 | ALTER | 控制服务器 |
| 更改任何列加密密钥 | ALTER | 控制服务器 |
| 更改任意列主键定义 | ALTER | 控制服务器 |
| 更改任何合同 | ALTER | 控制服务器 |
| 修改任何数据库审核 | ALTER | 修改任何服务器审计 |
| ALTER ANY DATABASE DDL TRIGGER | ALTER | 控制服务器 |
| 更改任何数据库事件通知 | ALTER | 修改任何事件通知 |
| 更改任意数据库事件会话 适用于： Azure SQL 数据库。 |
ALTER | 更改任何事件会话 |
| 更改任何数据库作用域配置 适用于：SQL Server 2016 (13.x) 及更高版本、SQL 数据库。 |
CONTROL | 控制服务器 |
| 更改任何数据空间 | ALTER | 控制服务器 |
| 修改任何外部数据源 | ALTER | 控制服务器 |
| 更改任何外部文件格式 | ALTER | 控制服务器 |
| 更改任何外部库 适用于： SQL Server 2017 (14.x)。 |
CONTROL | 控制服务器 |
| 更改任何全文目录 | ALTER | 控制服务器 |
| 更改任意掩码 | CONTROL | 控制服务器 |
| 更改任何消息类型 | ALTER | 控制服务器 |
| 更改任意远程服务绑定 | ALTER | 控制服务器 |
| 修改任意角色 | ALTER | 控制服务器 |
| 修改任何路由 | ALTER | 控制服务器 |
| 更改任何安全策略 适用于：SQL Server 2016 (13.x) 及更高版本、Azure SQL 数据库。 |
CONTROL | 控制服务器 |
| 更改任何架构 | ALTER | 控制服务器 |
| 更改任何服务 | ALTER | 控制服务器 |
| 更改任意对称密钥 | ALTER | 控制服务器 |
| 更改任何用户 | ALTER | 控制服务器 |
| AUTHENTICATE | CONTROL | 身份验证服务器 |
| 备份数据库 | CONTROL | 控制服务器 |
| 备份日志 (BACKUP LOG) | CONTROL | 控制服务器 |
| CHECKPOINT | CONTROL | 控制服务器 |
| CONNECT | 连接复制 | 控制服务器 |
| 连接复制 | CONTROL | 控制服务器 |
| CONTROL | CONTROL | 控制服务器 |
| 创建聚合 | ALTER | 控制服务器 |
| CREATE ASSEMBLY (创建程序集) | 更改任何程序集 | 控制服务器 |
| 创建非对称密钥 | 更改任何非对称密钥 | 控制服务器 |
| 创建证书 | 修改任何证书 | 控制服务器 |
| 创建合同 | 更改任何合同 | 控制服务器 |
| 创建数据库 | CONTROL | 创建任意数据库 |
| 创建数据库 DDL 事件通知 | 更改任何数据库事件通知 | 创建 DDL 事件通知 |
| 创建默认值 | ALTER | 控制服务器 |
| 创建全文目录 | 更改任何全文目录 | 控制服务器 |
| 创建函数 | ALTER | 控制服务器 |
| 创建消息类型 | 更改任何消息类型 | 控制服务器 |
| CREATE PROCEDURE | ALTER | 控制服务器 |
| 创建队列 | ALTER | 控制服务器 |
| 创建远程服务绑定 | 更改任意远程服务绑定 | 控制服务器 |
| 创建角色 | 修改任意角色 | 控制服务器 |
| CREATE ROUTE | 修改任何路由 | 控制服务器 |
| 创建规则 | ALTER | 控制服务器 |
| 创建架构 | 更改任何架构 | 控制服务器 |
| 创建服务 | 更改任何服务 | 控制服务器 |
| 创建对称密钥 | 更改任意对称密钥 | 控制服务器 |
| CREATE SYNONYM | ALTER | 控制服务器 |
| CREATE TABLE | ALTER | 控制服务器 |
| 创建类型 | ALTER | 控制服务器 |
| 创建视图 | ALTER | 控制服务器 |
| 创建 XML 架构集合 | ALTER | 控制服务器 |
| DELETE | CONTROL | 控制服务器 |
| EXECUTE | CONTROL | 控制服务器 |
| 执行任何外部脚本 适用于： SQL Server 2016 (13.x)。 |
CONTROL | 控制服务器 |
| INSERT | CONTROL | 控制服务器 |
| 终止数据库连接 适用于： Azure SQL 数据库。 |
CONTROL | 更改任何连接 |
| REFERENCES | CONTROL | 控制服务器 |
| SELECT | CONTROL | 控制服务器 |
| SHOWPLAN | CONTROL | ALTER TRACE |
| 订阅查询通知 | CONTROL | 控制服务器 |
| 接管所有权 | CONTROL | 控制服务器 |
| UNMASK | CONTROL | 控制服务器 |
| UPDATE | CONTROL | 控制服务器 |
| 查看任何列加密密钥 | CONTROL | 查看任何定义 |
| 查看任何主密钥定义 | CONTROL | 查看任何定义 |
| 查看数据库状态 | CONTROL | 查看服务器状态 |
| 视图定义 | CONTROL | 查看任何定义 |
Permissions
执行此语句的主体（或用 AS 选项指定的主体）必须具有对数据库的 CONTROL 权限，或具有隐含对数据库的 CONTROL 权限的更高权限。
若要使用 AS 选项，则指定的主体必须拥有数据库。
Examples
A. 拒绝创建证书的权限
以下示例拒绝用户 CREATE CERTIFICATE 对 AdventureWorks2025 数据库的 MelanieK 权限。
USE AdventureWorks2022;
DENY CREATE CERTIFICATE TO MelanieK;
GO
B. 对应用程序角色拒绝 REFERENCES 权限
以下示例拒绝应用程序角色 REFERENCES 对 AdventureWorks2025 数据库的 AuditMonitor 权限。
适用于：SQL Server 2008 (10.0.x) 及更高版本、SQL 数据库。
USE AdventureWorks2022;
DENY REFERENCES TO AuditMonitor;
GO
C. 使用 CASCADE 拒绝 VIEW DEFINITION
以下示例拒绝用户 VIEW DEFINITION 以及 AdventureWorks2025 已授予 CarmineEs 权限的所有主体对 CarmineEs 数据库的 VIEW DEFINITION 权限。
USE AdventureWorks2022;
DENY VIEW DEFINITION TO CarmineEs CASCADE;
GO