Microsoft SQL Server 中的 安全 系统在最低级别，即 数据库 本身上实现。无论使用什么 应用 程序 与 SQL Server 通讯，这都是控制用户活动的最佳方法。但是，有时必须自定义安全控制以适应个别 应用 程序 的特殊需要，尤其是当处理复杂数据库和含有大表的数
Microsoft® SQL Server ™ 中的 安全 系统在最低级别，即 数据库 本身上实现。无论使用什么 应用 程序 与 SQL Server 通讯，这都是控制用户活动的最佳方法。但是，有时必须自定义安全控制以适应个别 应用 程序 的特殊需要，尤其是当处理复杂数据库和含有大表的数据库时。
此外，可能希望限制用户只能通过特定 应用 程序 (例如使用 SQL 查询分析器或 Microsoft Excel)来访问数据或防止用户直接访问数据。限制用户的这种访问方式将禁止用户使用 应用 程序 (如 SQL 查询分析器)连接到 SQL Server 实例并执行编写质量差的查询，以免对整个服务器的性能造成负面影响。
SQL Server 通过使用 应用 程序 角色 适应这些要求。 应用 程序 角色 与标准 角色 有以下 区别 ：
◆ 应用 程序 角色 不包含成员。
不能将 Microsoft Windows NT® 4.0 或 Windows® 2000 组、用户和 角色 添加到 应用 程序 角色 ;当通过特定的 应用 程序 为用户连接激活 应用 程序 角色 时，将获得该 应用 程序 角色 的权限。用户之所以与 应用 程序 角色 关联，是由于用户能够运行激活该 角色 的 应用 程序 ，而不是因为其是 角色 成员。
◆默认情况下， 应用 程序 角色 是非活动的，需要用密码激活。
◆ 应用 程序 角色 不使用标准权限。
当一个 应用 程序 角色 被该 应用 程序 激活以用于连接时，连接会在连接期间永久地失去数据库中所有用来登录的权限、用户帐户、其它组或数据库 角色 。连接获得与数据库的 应用 程序 角色 相关联的权限， 应用 程序 角色 存在于该数据库中。因为 应用 程序 角色 只能 应用 于它们所存在的数据库中，所以连接只能通过授予其它数据库中 guest 用户帐户的权限，获得对另一个数据库的访问。因此，如果数据库中没有 guest 用户帐户，则连接无法获得对该数据库的访问。如果 guest 用户帐户确实存在于数据库中，但是访问对象的权限没有显式地授予 guest，则无论是谁创建了对象，连接都不能访问该对象。用户从 应用 程序 角色 中获得的权限一直有效，直到连接从 SQL Server 退出为止。
若要确保可以执行 应用 程序 的所有函数，连接必须在连接期间失去 应用 于登录和用户帐户或所有数据库中的其它组或数据库 角色 的默认权限，并获得与 应用 程序 角色 相关联的权限。例如，如果 应用 程序 必须访问通常拒绝用户访问的表，则应废除对该用户拒绝的访问权限，以使用户能够成功使用该 应用 程序 。 应用 程序 角色 通过临时挂起用户的默认权限并只对他们指派 应用 程序 角色 的权限而克服任何与用户的默认权限发生的冲突。
应用 程序 角色 允许 应用 程序 (而不是 SQL Server)接管验证用户身份的责任。但是，SQL Server 在 应用 程序 访问数据库时仍需对其进行验证，因此 应用 程序 必须提供密码，因为没有其它方法可以验证 应用 程序 。
如果不需要对数据库进行特殊访问，则不需要授予用户和 Windows NT 4.0 或 Windows 2000 组任何权限，因为所有权限都可以由它们用来访问数据库的 应用 程序 指派。在这种环境下，假设对 应用 程序 的访问是安全的，则在系统范围内统一使用指派给 应用 程序 角色 的密码是可能的。
有几个选项可用于管理 应用 程序 角色 密码而无须将其硬编码到 应用 程序 中。例如，可以使用存储在注册表(或 SQL Server 数据库)中的加密键，只有 应用 程序 有加密键的解密代码。 应用 程序 读取键，对其进行解密，并使用其值设置 应用 程序 角色 。如果使用多协议 Net-Library，则含有密码的网络数据包也可以被加密。另外，当 角色 被激活时，可以在发送到 SQL Server 实例前将密码加密。
如果 应用 程序 用户使用 Windows 身份验证模式连接到 SQL Server 实例，则在使用 应用 程序 时，可以使用 应用 程序 角色 设置 Windows NT 4.0 或 Windows 2000 用户在数据库中拥有的权限。这种方法使得当用户使用 应用 程序 时，对用户帐户的 Windows NT 4.0 或 Windows 2000 审核及对用户权限的控制容易维护。
如果使用 SQL Server 身份验证，并且不要求审核用户在数据库中的访问，则 应用 程序 可以更容易地使用预定义的 SQL Server 登录连接到 SQL Server 实例。例如，订单输入 应用 程序 验证运行该 应用 程序 的用户，然后用相同的 OrderEntry 登录连接到 SQL Server 实例。所有连接都使用同一登录，相关权限授予该登录。
说明 应用 程序 角色 可以和两种身份验证模式一起使用。
示例
作为 应用 程序 角色 使用的示例，假设用户 Sue 运行销售 应用 程序 ，该 应用 程序 要求在数据库 Sales 中的表 Products 和 Orders 上有 SELECT、UPDATE 和 INSERT 权限，但她在使用 SQL 查询分析器或任何其它工具访问 Products 或 Orders 表时不应有 SELECT、INSERT 或 UPDATE 权限。若要确保如此，可以创建一个拒绝 Products 和 Orders 表上的 SELECT、INSERT 或 UPDATE 权限的用户-数据库 角色 ，然后将 Sue 添加为该数据库 角色 的成员。接着在 Sales 数据库中创建带有 Products 和 Orders 表上的 SELECT、INSERT 和 UPDATE 权限的 应用 程序 角色 。当 应用 程序 运行时，它通过使用 sp_setapprole 提供密码激活 应用 程序 ，并获得访问 Products 和 Orders 表的权限。如果 Sue 尝试使用除该 应用 程序 外的任何其它工具登录到 SQL Server 实例，则将无法访问 Products 或 Orders 表。
查看更多关于SQLServer建立应用程序安全性和程序角色的详细内容...