SQL如何实现对Update操作的每一列进行权限检查

不能直接实现。SQL Server列级UPDATE权限仅在解析期检查SET子句是否含未授权列，不支持运行时逐列动态校验；需用INSTEAD OF触发器配合UPDATE()和HAS_PERMS_BY_NAME手动控制，但性能差、维护难，应用层控制更现实。

sql如何实现对update操作的每一列进行权限检查_利用updatecolumns

SQL Server中`UPDATE`语句能否按列限制权限？

不能直接实现。SQL Server的GRANT和DENY只支持表级或列级的UPDATE权限，但**不提供运行时动态检查“本次UPDATE实际修改了哪些列”**的能力。所谓“对Update操作的每一列进行权限检查”，本质是希望：用户A能改name列但不能改salary列，且当一条UPDATE语句同时更新这两列时，系统应拒绝执行——这在原生T-SQL中没有内置机制。

`UPDATE`语句里如何知道哪些列被真正修改了？

只能靠触发器或应用层识别，数据库引擎本身不暴露“本次SET子句涉及哪些列”的元信息。常见做法是在INSTEAD OF UPDATE触发器中对比inserted和deleted表：

CREATE TRIGGER tr_emp_update_col_check
ON employees
INSTEAD OF UPDATE
AS
BEGIN
  IF UPDATE(salary) AND NOT HAS_PERMS_BY_NAME('employees', 'OBJECT', 'UPDATE', 'salary')
    THROW 50001, 'No permission to update salary column', 1;
<p>-- 注意：UPDATE()函数只判断SET子句是否包含该列名，不判断值是否真变了
-- 所以UPDATE(name)为true，即使SET name = name也会触发
UPDATE e SET 
name = i.name,
email = i.email
FROM employees e
INNER JOIN inserted i ON e.id = i.id;
END;</p>

UPDATE(column_name)是T-SQL函数，仅反映语法层面是否出现在SET中，不是语义层面“值是否变更”
无法用COLUMNS_UPDATED()做细粒度权限控制，它返回位图，且权限校验需手动映射到列名
触发器里调用HAS_PERMS_BY_NAME查权限是可行的，但性能开销明显，尤其高频更新场景

为什么不能依赖`GRANT UPDATE(name)`自动拦截跨列操作？

因为SQL Server的列级UPDATE权限是“白名单式放行”，不是“黑名单式拦截”。例如：

GRANT UPDATE(name) ON employees TO user_a;
GRANT UPDATE(email) ON employees TO user_a;

此时user_a执行UPDATE employees SET name='x', salary=10000 WHERE id=1会直接报错：The UPDATE permission was denied on the column 'salary' of the object 'employees'——但这个报错发生在语句解析阶段，**不是在运行时逐列检查**，更不会让name列的更新成功而salary列失败（即不支持“部分列更新成功”）。