SESSION_CONTEXT 是 SQL Server 2016+ 的会话级键值存储，适合权限校验因其线程安全、轻量且支持一次写入多次读取；校验需先判空防 NULL，再用 TRY_CAST 转换并兜底检查数据库主体存在性。

SQL Server 中 SESSION_CONTEXT 是什么，为什么适合做权限校验

SESSION_CONTEXT 是 SQL Server 2016+ 提供的会话级键值存储，类似轻量级内存变量，生命周期绑定当前连接，且线程安全、无需显式清理。它比 CONTEXT_INFO 更灵活（支持任意键名、多种类型值），比临时表或全局变量更轻量、无持久化风险。权限校验场景下，它天然适配“一次登录、多次调用”的模式——应用层在连接建立后一次性写入用户身份和角色，后续所有存储过程都可直接读取，避免重复查表或传参。

如何在存储过程中安全读取并校验 SESSION_CONTEXT 中的用户信息

核心是两步：先确认键存在且非空，再验证值是否符合预期权限规则。不能直接信任 SESSION_CONTEXT(N'userId') 的返回值，因为可能为 NULL（未设置）、空字符串（被恶意清空）或伪造值（若应用层未严格管控写入）。

Session Reset

安全地重置 OpenClaw agent sessions，支持备份、预览、恢复和批量操作。用于：1) 清理过期的 agent 会话上下文，2) 重置特定 agents 的 session，3) 批量重置六部/秘书 sessions，4) 查看和恢复历史备份。当用户需要"reset session"、"清理 se...

下载

• 用 ISNULL(SESSION_CONTEXT(N'userId'), N'') 或 COALESCE(SESSION_CONTEXT(N'userId'), N'') 防止 NULL 引发逻辑短路
• 校验前加 IF NOT EXISTS (SELECT 1 FROM sys.database_principals WHERE name = @userId) 类型的兜底检查（如果业务用户映射到数据库主体）
• 避免在 WHERE 子句中裸用 SESSION_CONTEXT 做过滤，比如 WHERE owner_id = CAST(SESSION_CONTEXT(N'userId') AS INT) —— 若转换失败会报错，应先 TRY_CAST 并判断
• 示例片段：

  DECLARE @userId INT = TRY_CAST(SESSION_CONTEXT(N'userId') AS INT);
  IF @userId IS NULL OR @userId <= 0
      THROW 50000, 'Invalid or missing session user context', 1;

SESSION_CONTEXT 写入时机与权限校验失败时的处理策略

写入必须由可信入口完成，典型路径是应用获取 token 后调用一个初始化存储过程（如 sp_set_user_context），内部用 sp_set_session_context 设置多个键（N'userId'、N'roleId'、N'orgId'）。关键点在于：写入不可由终端用户触发，也不能在普通业务 SP 中允许覆盖。

• 禁止在业务存储过程中调用 sp_set_session_context，否则权限可被绕过
• 校验失败时不要只 RETURN，而应 THROW 明确错误号（如 50001）和消息，让应用层统一捕获并跳转登录页
• 若需支持多租户，建议额外校验 SESSION_CONTEXT(N'tenantId') 是否与当前操作数据所属租户一致，防止跨租户越权
• 注意：SESSION_CONTEXT 不加密，敏感字段（如角色名）建议只存 ID，不存明文权限列表

常见陷阱：连接池复用导致 SESSION_CONTEXT 残留

这是最易被忽略的问题。应用使用连接池时，物理连接可能被不同用户复用，若前一个用户的 SESSION_CONTEXT 未清理，下一个用户执行 SP 就会读到脏数据。SQL Server 不自动重置它。

• 必须在每次连接重用前清空，推荐在连接字符串中添加 Connection Reset=true（.NET SqlClient 默认开启），但它只重置连接状态，不清理 SESSION_CONTEXT
• 真正可靠的做法是在应用层获取连接后、执行业务前，主动执行 sp_unset_session_context 或批量清除：

  EXEC sp_unset_session_context @key = N'userId';
  EXEC sp_unset_session_context @key = N'roleId';

• 或者更彻底：在连接字符串中启用 Pooling=false（仅调试用，性能差）
• 测试时务必模拟连接池行为，不要只用 SSMS 手动执行——SSMS 每次新建连接，天然隔离

SESSION_CONTEXT 本身很简单，但权限校验的可靠性不取决于函数有多强，而取决于上下文是否被严格管控、残留是否被彻底清理、失败路径是否被完整覆盖。这几个点漏掉任何一个，都可能让整个机制形同虚设。