SQL Server ->> SQL Server 2016新特性之 -- sp_set_session_context存储过程和SESSION_CONTEXT函数

sp_set_session_context存储过程和SESSION_CONTEXT函数出现在了SQL Server 2016 CTP3.0上。它俩配合起来的作用是sp_set_session_context用于设置一个键值作为会话的上下文(最大不超过256kb)，而这个上下文的内容可以通过定义好的键名称在会话内任何时候读取。

比如：

EXEC sp_set_session_context 'user_id', 4;
SELECT SESSION_CONTEXT(N'user_id');

这东西到底有什么用呢？

这东西非常有用。我们都知道用户的身份就代表了当前会话的安全上下文，那是基于Windows身份认证的应用程序才是这样的。在大型的项目中，我们不可能为每个用户去新建一个SQL Server Login。那么这东西对于那些通过应用程序中间层的项目来说就非常有用了，因为是应用程序用特定的用户身份连接到SQL Server数据库，每个用户的身份都是相同。那么有了这个sp_set_session_context存储过程和SESSION_CONTEXT函数的出现，我们就可以为每个连接设定好它们自己的安全上下文。比如说每个用户登录账户、密码和类别属性的信息是存储在数据库表中的，那么应用程序获取用户身份登录信息之后用同样的SQL Server Login账户开启连接到SQL Server数据库查询数据，但是为每个用户设定属于他们各自的安全上下文。

---------------- update 2016/02/20 --------------------------------------------------------------

这里有个安全的隐患，就是每个用户都有权限调用sp_set_session_context存储过程设置他们自己的会话安全上下文，这样很容易出现身份盗用。比如我可以设置任何人都可以设置自己是Manager或者CEO。这层的安全控制需要应用程序中间层的配合完成。就像如果SQL Server启用了连接池（Connection Pooling）后需要应用程序每次在开启新会话的时候重新设置SET OPTIONS这些信息一样，也是由应用程序中间层在初始化会话的时候调用sp_set_session_context设置用户的安全上下文。

这里又有另外一个问题，假设我采用中间层应用程序的方法来连接数据库，但是SQL Server Audit中却没有记录会话上下文的信息。SQL Server Audit只告诉我们SQL Server Login和Database User的名称。这里我提交了一个建议给微软，希望可以把会话上下文的信息加入到SQL Server Audit文件中。

https://connect.microsoft.com/SQLServer/feedback/details/2382291

参考：

SESSION_CONTEXT (Transact-SQL)

sp_set_session_context (Transact-SQL)