開發人員和管理人員通常不斷地考慮程序安全問題的策略──添加安全措施不再是一個可以完全接收的方法。程序的安全問題必須從設計的開始就得考慮，並貫穿開發的整個過程。以後如果要開發一個SQL Server的數據庫，你一定要從開始就遵循這些安全設計規則。
最基本的要點
如果你不能理解SQL Server security基本的概念，就馬上先停止開發並先閱讀這些開發准則，你不可能在不知道這些概念的基礎上就能夠正確地使一個數據庫安全化。程序的安全正如一輛卡車一樣。你具有一個發動機，一把鑰匙，當鑰匙打開發動機即發動機啟動之後，就有可能發生的全部過程。如果你忽略了某些細節，駕駛過程中就會發生很多麻煩。在問題產生之後，你可以將卡車交給一個修理工，然而對於程序的安全問題，你自己將是數據庫的修理工。
開始，你必須選擇以下兩種安全模式：
l Windows 認證模式：用戶通過一個現成的Windows用戶帳號來連接服務器。當一個用戶試圖與一個服務器連接的時候，SQL Server將會認證用戶的Windows帳號的名稱和密碼。用戶不能同時進入網絡和SQL Server，只能進入其中的一個。這一方法也被稱為一個被依賴的連接。
l 混合模式：這一模式將Windows認證模式和SQL Server認證聯接在一起。用戶可以通過一個Windows用戶帳號進行連接，這正如Windows認證一樣。但是，你也可以在SQL Server中直接建立用戶帳號。每一個SQL Server帳號都存儲了一個用戶名和密碼。
我們建議在可能的情況下都使用Windows認證模式。然而，混合模式很可以使用，特別是在SQL Server 7.0(或更早版本)都可以使用。.對於早期的SQL Server版本，SQL Server認證存在一些缺點。Windows認證已經集成了操作系統的安全系統，這就提供了比SQL Server認證更多的安全特性，很容易的使用，效率更加高，安全性更加好。在設計開始的時候，你應該認真考慮選擇哪一種模式最為合適。
密碼
無論采用哪一些模式，你應該記住在SQL Server中為系統管理者(sa)設置一個密碼。當安裝SQL Server時，安裝程序會自動建立一個帶有SQL Server注冊名稱(sa)和一個空白密碼的管理用戶。如果你保持這些用戶設置原樣而使用混合安全模式，任何具備一點SQL Server基礎知識的用戶都可以很容易地進入到你的數據庫中並做任何他想要做的事情。如果你使用的是Windows認證模式，在理論上你無需為sa用戶設置一個密碼，因為SQL Server注冊不會接受這些的設置。但是設置是一個很良好的操作，尤其是當你被迫轉移到將來使用的混合模式的時候。
如果安全模式已經啟動，注冊將成為關鍵。你必須使用正確的方法來啟動程序，注冊也是同樣的，如果你不能正確地輸入用戶名和密碼，程序將不能連接到網絡，同時也不能連接到SQL Server。
作為一個管理者，一旦你已經啟動了程序，你就做好安全管理的准備。可以通過定義以下的特性而實現：
l 用戶（帳號）：一個SQL Serve安全帳號代表著一個唯一的用戶。一個用戶也只有一個Windows帳號或者一個SQL Server注冊，這與數據庫中的用戶帳號相統一。
l 組(帳號)：每一個用戶都屬於一個或多個組，這由認證模式決定。每一個組都具有特定許可。作為一個組的成員，你將獲得所有組的許可。
l 對象所有權：所有權屬於建立對象的用戶。所有者可以將訪問權限分配給用戶。如果你是一個視的所有者，你還可以決定哪些用戶可以通過視來查看數據。
l 許可：一個許可代表著具有執行某些操作的權利，比如打開一個視或者更改一個存儲程序。SQL Server承認許可的三種狀態：GRANT給你一個用戶訪問；REVOKE刪除訪問；DENY防止用戶訪問對象。
l 任務：這是一個SQL Server安全帳號，可以將帳號的集合作為一個簡單的單元來處理。任務定義在特定數據庫中用戶可以做哪些和哪些不可以做。
