22、SQL Server安全：报表服务与SQL注入攻击防范

SQL Server安全：报表服务与SQL注入攻击防范

1. 报表服务对象权限管理

1.1 权限设置基础

在SQL Server Reporting Services中，系统角色和文件夹角色创建后，大部分的权限管理工作并非在SQL Server Management Studio中完成。而是在Report Manager中进行，通过将用户添加到特定角色，赋予用户对不同文件夹以及文件夹内特定对象的访问权限。每个对象既可以继承其父对象（即所在文件夹）的安全设置，也可以针对特定对象单独授予权限，默认情况下所有对象都继承父对象的权限设置，这使得快速更改报表服务配置中整个分支的权限变得十分便捷。

1.2 更改对象权限的操作步骤

更改SQL Server Reporting Services网站中对象的权限非常简单，具体操作步骤如下：
1. 打开需要修改的对象。
2. 如果对象是文件夹，选择“Folder Settings”按钮；如果对象是报表，选择“Properties”按钮。
3. 在屏幕左侧选择“Security”选项卡。
4. 点击“Edit Item Security”按钮，会弹出类似特定界面，可在此界面中添加或移除对象的权限。

1.3 隐藏对象的操作步骤

隐藏对象只需查看对象的属性，具体操作如下：
1. 打开文件夹或报表。
2. 如果对象是文件夹，点击“Folder Settings”按钮；如果对象是报表，点击“Properties”按钮。
3. 在打开的属性页面中，默认会有一个“Hide in tile view”复选框。
4.