开发人员能删改视图是因为继承了alter或drop权限，根源在于db_ddladmin角色、自定义角色、public授权、windows组或schema级权限；应通过查询sys.database_permissions定位权限来源，并实施最小权限、显式deny、ddl触发器等防护措施。
普通开发人员无法直接修改或删除视图，除非被显式授予 ALTER 或 DROP 权限——但默认情况下他们很可能已经被悄悄赋予了这些权限，这才是问题根源。
为什么开发人员能删改视图？查清权限来源是第一关
SQL Server 中视图本身不自带“只读锁”，它的可操作性完全取决于用户/角色拥有的对象级权限。常见误判是以为“没给 db_owner 就安全了”，但实际中：
-
db_ddladmin角色成员可以执行任意CREATE/ALTER/DROP，包括视图 - 某个自定义数据库角色（比如
dev_role）可能被 DBA 手动加了ALTER VIEW权限 - 用户属于
public角色，而有人误对public授予了ALTER ON SCHEMA::dbo - 通过 Windows 组继承的权限（如 AD 组
SQL_Developers）在 SQL Server 中映射后拥有过高权限
用 T-SQL 快速定位谁有视图修改权
别靠猜，运行以下语句查清当前数据库中所有能改视图的主体：
SELECT
p.name AS principal_name,
p.type_desc AS principal_type,
pe.permission_name,
pe.state_desc,
o.name AS object_name,
o.type_desc AS object_type
FROM sys.database_permissions pe
JOIN sys.database_principals p ON pe.grantee_principal_id = p.principal_id
LEFT JOIN sys.objects o ON pe.major_id = o.object_id
WHERE pe.permission_name IN ('ALTER', 'ALTER VIEW', 'CONTROL')
AND (o.type = 'V' OR pe.class = 3); -- class=3 表示 schema 级权限
重点关注 state_desc = 'GRANT' 且 object_type = 'VIEW' 或 class = 3（schema 级）的结果。
真正有效的防护：最小权限 + 显式拒绝
仅靠“不授予权限”不可靠，因为权限可继承、可叠加。必须主动收口：
- 从
db_ddladmin角色中移除开发人员账号：ALTER ROLE db_ddladmin DROP MEMBER [dev_user]; - 对关键视图显式拒绝修改权（即使没被授权，
DENY仍会覆盖后续意外授权）：DENY ALTER ON OBJECT::[dbo].[v_SalesSummary] TO [dev_user]; - 若需保留查询权但禁写，确保只授予
SELECT：GRANT SELECT ON OBJECT::[dbo].[v_SalesSummary] TO [dev_user]; - 避免对
public授予任何 DDL 权限；检查并清理：REVOKE ALTER ON SCHEMA::dbo FROM public;
额外防线：用 DDL 触发器捕获异常操作
权限控制总有盲区，DDL 触发器是最后一道实时拦截手段：
CREATE OR ALTER TRIGGER tr_prevent_view_drop_alter
ON DATABASE
FOR DROP_VIEW, ALTER_VIEW
AS
BEGIN
IF ORIGINAL_LOGIN() NOT IN ('sa', 'DBA_Admin', 'deploy_service_account')
BEGIN
RAISERROR('禁止非授权用户修改/删除视图。操作已被拦截。', 16, 1);
ROLLBACK;
END
END;
注意：ORIGINAL_LOGIN() 比 CURRENT_USER 更可靠，它返回连接时的实际登录名，不受 EXECUTE AS 干扰。该触发器需由 sysadmin 创建，且不能被普通用户禁用或删除。
最易被忽略的一点：权限变更不会自动同步到已存在的会话。用户可能仍持旧权限缓存，需要重新登录或执行 REVERT / EXECUTE AS 切换后才生效。上线前务必用目标账号实测连接并尝试 DROP VIEW。
