Bitwarden Server MSSQL 数据探索指南sqlcmd 只读查询实战【免费下载链接】serverBitwarden infrastructure/backend (API, database, Docker, etc).项目地址: https://gitcode.com/GitHub_Trending/ser/server在本地开发环境中安全、高效地查询 Bitwarden server 的 Microsoft SQL Server 数据库是分析业务数据、核验种子数据Seeder与排查问题的常见需求。本文基于仓库内.claude/skills/exploring-bitwarden-data技能库中 MSSQL Provider 参考文档完整讲解连接前置条件、sqlcmdMicrosoft Go 实现的调用规范、只读防护措施与三类典型查询模式并结合仓库源码与配置文件给出可验证的实战依据。读完本文你将能独立完成对 Bitwarden MSSQL 开发库的安全只读探查并掌握把同一套逻辑迁移到 MySQL / PostgreSQL 的关键差异。一、环境前置条件四个必需的连接变量与 MySQL、PostgreSQL 两个 Provider 保持一致分别对应BW_MYSQL_*与BW_POSTGRES_*MSSQL Provider 在发起任何连接前必须先确认以下四个环境变量全部存在环境变量含义BW_MSSQL_SERVERSQL Server 主机地址本地开发环境为mssql或localhostBW_MSSQL_DB_NAME目标数据库名BW_MSSQL_USERNAME连接用户名按技能约定指向只读账号而非saBW_MSSQL_PASSWORD连接密码原文档给出了一段可直接执行的校验脚本建议在任何查询命令前先运行确保变量齐备[ -n ${BW_MSSQL_SERVER:-} ] [ -n ${BW_MSSQL_DB_NAME:-} ] \ [ -n ${BW_MSSQL_USERNAME:-} ] [ -n ${BW_MSSQL_PASSWORD:-} ] \ echo Bitwarden MSSQL env vars OK || echo MISSING Bitwarden MSSQL env var1.1 密码安全规则跨 Provider 通用SKILL.md 明确要求任何情况下都不得回显、打印、cat、printenv或hexdump密码类环境变量。正确做法是把密码内联在命令行中如SQLCMDPASSWORD$BW_MSSQL_PASSWORD sqlcmd ...绝不export密码变量避免其在子进程环境与 shell 历史中泄漏。1.2 本地开发库来源这些BW_MSSQL_*变量对应的是本地开发环境中的 MSSQL 实例。仓库根目录的 dev/docker-compose.yml 中定义了mssql服务镜像为mcr.microsoft.com/mssql/server:2025-latest宿主机映射端口1433:1433并设置了ACCEPT_EULAY与MSSQL_PIDDeveloper开发者版。该服务同时被cloud与mssql两个 profile 引用数据保存在mssql_dev_data卷中。也就是说本指南面向的就是这个以2025-latest镜像启动的 SQL Server 2025 开发实例。二、必需工具sqlcmdMicrosoft Go 实现MSSQL Provider 依赖sqlcmd客户端且明确指出是Microsoft 的 Go 语言实现即github.com/microsoft/go-sqlcmd系发行版而非旧版基于 ODBC 的sqlcmd。该实现的行为与旧版存在差异例如对标准输入的处理方式见下文 heredoc 一节。连接前应先确认工具存在which sqlcmd若sqlcmd不存在按原文档要求应立即停止并明确告知用户而不是退而求其次使用其他客户端因为后文所有命令、参数语义尤其是-C -N m -K ReadOnly都假定为 Go 实现的行为。三、安全连接基线-C -N m -K ReadOnly必须常驻原文档强调本环境下的每一次调用都必须携带以下三个参数它们是不属于标准sqlcmd默认调用方式的强制约束参数作用-C信任服务器证书trust server certificate配合加密连接使用-N m强制启用 TLS 加密m mandatory本环境要求必须加密-K ReadOnly在驱动层强制声明只读连接意图ApplicationIntentReadOnly从传输层面约束连接只能用于读取-K ReadOnly是本技能最重要的安全设计它把只读从 SQL 语句层面的自觉约束提升到了驱动连接串层面的强制声明。配合技能库整体的纵深防御defense in depth原则——数据库登录账号本身为只读SELECT-only任何写操作在服务器端就会失败与语句内容无关。此外SKILL.md 还给出了两条跨 Provider 的通用纪律同样适用于 MSSQL允许的操作SELECT、WITHCTE、INFORMATION_SCHEMA/sys.*元数据查询不允许编写存储过程、迁移脚本或修改数据。结果呈现少于 20 行格式化为 Markdown 表格更大的结果集总结为 top-N 计数始终回显所执行的 SQL呈现前去除(N rows affected)、Query OK之类的 CLI 页脚噪音。四、方言要点方括号标识符与保留字冲突Bitwarden 的 MSSQL 架构SSDT 工程位于 src/Sql/dbo 下使用了大量与 SQL Server 保留字重名的标识符。原文档明确列出以下几个高频冲突项[Plan][User][Group][Status][ReadOnly]不加方括号直接书写Plan或Group会直接报语法错误因此所有查询中凡是引用这些列名、表名都必须使用[方括号]语法。这一点在真实表结构中可以得到直接印证Organization.sql 定义了[Plan] NVARCHAR(50) NOT NULL、[Status] TINYINT NOT NULL等列其中[Plan]是展示用的计划名字符串如 Families、Teams真正的计费类型判断应使用[PlanType] TINYINTOrganizationUser.sql 定义了[Status] SMALLINT NOT NULL成员状态列[User]表与[Group]表同样以保留字命名涉及它们时必须写[dbo].[User]、[dbo].[Group]。从 sources.md 可以看到Bitwarden 的表既分布在src/Sql/dbo/Tables/下也分布在AdminConsole/Tables/、Vault/Tables/等按领域组织的目录中本指南涉及的两张核心表均位于 src/Sql/dbo/Tables。五、三类查询模式详解所有示例统一使用如下调用骨架SQLCMDPASSWORD内联传递密码携带-C -N m -K ReadOnly安全三件套。5.1 基本表格查询Basic tabularSQLCMDPASSWORD$BW_MSSQL_PASSWORD sqlcmd \ -S $BW_MSSQL_SERVER -U $BW_MSSQL_USERNAME -d $BW_MSSQL_DB_NAME \ -C -N m -K ReadOnly \ -Q SELECT TOP 10 Id, Name, Seats FROM [dbo].[Organization] ORDER BY Name参数说明-S/-U/-d分别指定服务器、用户名、数据库-Q执行单条查询后立即退出SELECT TOP 10是 SQL Server 限制返回行数的标准写法MySQL / PostgreSQL 中对应LIMIT 10见第六节。示例查询返回前 10 个组织的Id、Name与Seats席位数。[dbo].[Organization]的Seats列在 Organization.sql 中定义为INT NULL表示该组织购买的席位额度。5.2 标量查询Scalar-h -1-WSET NOCOUNT ON;当只需要单个数值如总数、求和时使用-h -1去掉列标题与-W去除尾部空格并配合SET NOCOUNT ON;抑制 rows affected 计数输出使结果干净到只有一行一列SQLCMDPASSWORD$BW_MSSQL_PASSWORD sqlcmd \ -S $BW_MSSQL_SERVER -U $BW_MSSQL_USERNAME -d $BW_MSSQL_DB_NAME \ -C -N m -K ReadOnly \ -h -1 -W \ -Q SET NOCOUNT ON; SELECT COUNT(*) FROM [dbo].[Cipher][dbo].[Cipher]是密码库密文cipher主表源码见 src/Sql/dbo/Vault/Tables/Cipher.sql该查询返回全部密文记录数。SET NOCOUNT ON的重要性在于sqlcmd默认会在每个语句后打印(N rows affected)之类的计数若不抑制标量输出会被污染无法直接用于脚本赋值。5.3 多语句 / CTE 查询heredoc 标准输入-i /dev/stdinGo 实现的sqlcmd对多语句 SQL 的正确传参方式是heredoc 配合-i /dev/stdin——这不是显而易见的标准用法却是唯一可靠的方式SQLCMDPASSWORD$BW_MSSQL_PASSWORD sqlcmd \ -S $BW_MSSQL_SERVER -U $BW_MSSQL_USERNAME -d $BW_MSSQL_DB_NAME \ -C -N m -K ReadOnly \ -i /dev/stdin SQL SET NOCOUNT ON; WITH MemberCounts AS ( SELECT OrganizationId, COUNT(*) AS Members FROM [dbo].[OrganizationUser] WHERE [Status] 2 -- Confirmed GROUP BY OrganizationId ) SELECT TOP 10 O.Id, O.Name, O.Seats, mc.Members FROM MemberCounts mc JOIN [dbo].[Organization] O ON O.Id mc.OrganizationId ORDER BY mc.Members DESC; SQL要点拆解单引号 heredoc 标签SQL这是 SKILL.md 特别强调的反踩坑规则——若不加引号bash 会在 SQL 送入数据库客户端之前展开其中的$破坏列引用例如$1、$type之类的字符。-i /dev/stdin告诉 Go 版sqlcmd从标准输入读取脚本不传该参数时多语句输入可能被忽略或静默失败。CTE 语义示例用MemberCounts统计每个组织的已确认成员数再与[dbo].[Organization]连接取 Top 10。其中[Status] 2的注释为-- Confirmed其语义由 OrganizationUserStatusType.cs 精确界定值状态含义0Invited仅代表邀请尚未关联具体用户1Accepted用户已接受邀请并关联账号2Confirmed管理员已授予访问权是正式成员的最终状态3Staged已由 SCIM/目录连接器预置、尚未受邀不占席位-1Revoked已撤销访问可恢复至原状态因此活跃成员数Status 2Confirmed这也是 sources.md 与 SKILL.md 的 Grounding Rules 第一条反复强调的语义约定——不可与席位统计口径Status IN (0,1,2)混为一谈。顺带一提OrganizationUser.sql 中甚至存在一个过滤索引IX_OrganizationUser_UserId_Status_Filtered其WHERE [Status] 2; -- Confirmed注释与查询语义完全一致可作为该约定的表结构级佐证。六、跨 Provider 对照把 MSSQL 查询迁移到 MySQL / PostgreSQL仓库的同级文档 mysql.md 与 postgresql.md 均以MSSQL 示例为基准列出方言差异汇总如下特性MSSQLMySQLPostgreSQL标识符引用[方括号]反引号仅Group等保留字必须双引号所有 PascalCase 必须加引号限制行数TOP nLIMIT nLIMIT n当前 UTC 时间GETUTCDATE()UTC_TIMESTAMP()now() AT TIME ZONE utc读提示WITH (NOLOCK)无无字符串拼接CONCAT()\|\|会话只读-K ReadOnly驱动层SET SESSION TRANSACTION READ ONLY;SET default_transaction_read_only on;每用户 JSON 列类型NVARCHAR(MAX)longtexttextJSON 取值JSON_MODIFY/JSON_VALUEJSON_UNQUOTE(JSON_EXTRACT(col, $.UPPERCASE-GUID))col::jsonb - UPPERCASE-GUID其中两个最常踩的坑PostgreSQL 的 PascalCase 标识符必须全部加双引号EF 创建的列区分大小写未加引号会被折叠为小写而失败这是从 MSSQL 参考迁移时的头号错误源三个 Provider 均不存在 MSSQL 的规范表值函数TVFUserCipherDetails、UserCollectionDetails——EF 提供程序没有存储过程或函数需要自行按 sources.md 中列出的函数源码重建逻辑见下文第七节。七、进一步探索架构发现查询与源码印证7.1 实时架构发现INFORMATION_SCHEMA / sys.*当静态的 SSDT 源码无法满足需求如需要完整枚举表、查找列、获取视图定义或外键关系时schema-discovery-queries.md 提供了五类现成的只读查询全部使用INFORMATION_SCHEMA与sys.*目录视图仅适用于 MSSQL其他 Provider 需使用各自的元数据体系MySQL 的INFORMATION_SCHEMA、PostgreSQL 的pg_catalog。每个查询都套用本文第五节的sqlcmd标准调用骨架其中{{SCHEMA_NAME}}几乎总是dbo列出某个 schema 下全部表与视图INFORMATION_SCHEMA.TABLESINFORMATION_SCHEMA.VIEWS的UNION ALL按列名跨 schema 模糊搜索COLUMN_NAME LIKE %{{SEARCH_TERM}}%描述单表列结构数据类型、最大长度、可空性、默认值按ORDINAL_POSITION排序获取视图定义注意先将SET TEXTSIZE 1000000调大避免默认 4 KB 截断长视图查找表的外键关系用OBJECT_SCHEMA_NAME(...)消歧跨 schema 的同名表sys.foreign_keys联表查询。7.2 权威访问控制函数sources.md 强调回答用户 X 能看到哪些密文 / 哪些集合这类问题时优先使用官方规范函数而非手写 JOIN——它们编码了成员状态、组织启用状态以及直接授权优先于组授权的优先级逻辑手写极易出错UserCipherDetails.sql[dbo].UserCipherDetails返回用户可见的全部密文及编辑/查看密码/管理权限位内部以[Status] 2 -- Confirmed过滤成员并要求O.[Enabled] 1UserCollectionDetails.sql[dbo].UserCollectionDetails返回用户可访问的集合及其有效权限OrganizationAbilityView.sql一行浓缩组织的全部功能开关。7.3 语义补充Organization表的两个状态配合 Grounding Rules 第三条Organization.Enabled 1才是组织处于启用状态的活跃标志而Organization.Status属于 Provider 管理生命周期Pending / Created / ManagedPlan只是展示字符串——聚合与过滤计费维度时应使用PlanType。这些约定都直接影响查询条件的选择细节可参阅 SKILL.md 的 Grounding Rules 一节。八、小结一条可复用的安全查询工作流综合本文一条完整的 MSSQL 只读探查流程可归纳为四步校验环境运行第一节的环境变量校验脚本确认BW_MSSQL_*四个变量齐备并用which sqlcmd确认 Go 实现客户端存在固定安全骨架每条命令都使用SQLCMDPASSWORD$BW_MSSQL_PASSWORD sqlcmd -S ... -U ... -d ... -C -N m -K ReadOnly密码内联、绝不 export按需选择模式单条表格查询用-Q标量结果加-h -1 -W与SET NOCOUNT ON;多语句 / CTE 用-i /dev/stdin配合单引号 heredoc遵守方言与语义所有保留字标识符一律加[方括号]Status 2表示 Confirmed 正式成员需要实时摸清表结构时查阅 schema-discovery-queries.md需要权威访问控制语义时直接调用UserCipherDetails/UserCollectionDetails函数。以上所有结论均可在仓库内对应文件直接验证连接与命令规范见 mssql.md整体技能约束见 SKILL.md表结构以 src/Sql/dbo 下的 SSDT 源码为准枚举语义以 src/Core/AdminConsole/Enums/OrganizationUserStatusType.cs 的 XML 文档为准。【免费下载链接】serverBitwarden infrastructure/backend (API, database, Docker, etc).项目地址: https://gitcode.com/GitHub_Trending/ser/server创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 Bitwarden Server MSSQL 数据探索指南：sqlcmd 只读查询实战
Bitwarden Server MSSQL 数据探索指南sqlcmd 只读查询实战【免费下载链接】serverBitwarden infrastructure/backend (API, database, Docker, etc).项目地址: https://gitcode.com/GitHub_Trending/ser/server在本地开发环境中安全、高效地查询 Bitwarden server 的 Microsoft SQL Server 数据库是分析业务数据、核验种子数据Seeder与排查问题的常见需求。本文基于仓库内.claude/skills/exploring-bitwarden-data技能库中 MSSQL Provider 参考文档完整讲解连接前置条件、sqlcmdMicrosoft Go 实现的调用规范、只读防护措施与三类典型查询模式并结合仓库源码与配置文件给出可验证的实战依据。读完本文你将能独立完成对 Bitwarden MSSQL 开发库的安全只读探查并掌握把同一套逻辑迁移到 MySQL / PostgreSQL 的关键差异。一、环境前置条件四个必需的连接变量与 MySQL、PostgreSQL 两个 Provider 保持一致分别对应BW_MYSQL_*与BW_POSTGRES_*MSSQL Provider 在发起任何连接前必须先确认以下四个环境变量全部存在环境变量含义BW_MSSQL_SERVERSQL Server 主机地址本地开发环境为mssql或localhostBW_MSSQL_DB_NAME目标数据库名BW_MSSQL_USERNAME连接用户名按技能约定指向只读账号而非saBW_MSSQL_PASSWORD连接密码原文档给出了一段可直接执行的校验脚本建议在任何查询命令前先运行确保变量齐备[ -n ${BW_MSSQL_SERVER:-} ] [ -n ${BW_MSSQL_DB_NAME:-} ] \ [ -n ${BW_MSSQL_USERNAME:-} ] [ -n ${BW_MSSQL_PASSWORD:-} ] \ echo Bitwarden MSSQL env vars OK || echo MISSING Bitwarden MSSQL env var1.1 密码安全规则跨 Provider 通用SKILL.md 明确要求任何情况下都不得回显、打印、cat、printenv或hexdump密码类环境变量。正确做法是把密码内联在命令行中如SQLCMDPASSWORD$BW_MSSQL_PASSWORD sqlcmd ...绝不export密码变量避免其在子进程环境与 shell 历史中泄漏。1.2 本地开发库来源这些BW_MSSQL_*变量对应的是本地开发环境中的 MSSQL 实例。仓库根目录的 dev/docker-compose.yml 中定义了mssql服务镜像为mcr.microsoft.com/mssql/server:2025-latest宿主机映射端口1433:1433并设置了ACCEPT_EULAY与MSSQL_PIDDeveloper开发者版。该服务同时被cloud与mssql两个 profile 引用数据保存在mssql_dev_data卷中。也就是说本指南面向的就是这个以2025-latest镜像启动的 SQL Server 2025 开发实例。二、必需工具sqlcmdMicrosoft Go 实现MSSQL Provider 依赖sqlcmd客户端且明确指出是Microsoft 的 Go 语言实现即github.com/microsoft/go-sqlcmd系发行版而非旧版基于 ODBC 的sqlcmd。该实现的行为与旧版存在差异例如对标准输入的处理方式见下文 heredoc 一节。连接前应先确认工具存在which sqlcmd若sqlcmd不存在按原文档要求应立即停止并明确告知用户而不是退而求其次使用其他客户端因为后文所有命令、参数语义尤其是-C -N m -K ReadOnly都假定为 Go 实现的行为。三、安全连接基线-C -N m -K ReadOnly必须常驻原文档强调本环境下的每一次调用都必须携带以下三个参数它们是不属于标准sqlcmd默认调用方式的强制约束参数作用-C信任服务器证书trust server certificate配合加密连接使用-N m强制启用 TLS 加密m mandatory本环境要求必须加密-K ReadOnly在驱动层强制声明只读连接意图ApplicationIntentReadOnly从传输层面约束连接只能用于读取-K ReadOnly是本技能最重要的安全设计它把只读从 SQL 语句层面的自觉约束提升到了驱动连接串层面的强制声明。配合技能库整体的纵深防御defense in depth原则——数据库登录账号本身为只读SELECT-only任何写操作在服务器端就会失败与语句内容无关。此外SKILL.md 还给出了两条跨 Provider 的通用纪律同样适用于 MSSQL允许的操作SELECT、WITHCTE、INFORMATION_SCHEMA/sys.*元数据查询不允许编写存储过程、迁移脚本或修改数据。结果呈现少于 20 行格式化为 Markdown 表格更大的结果集总结为 top-N 计数始终回显所执行的 SQL呈现前去除(N rows affected)、Query OK之类的 CLI 页脚噪音。四、方言要点方括号标识符与保留字冲突Bitwarden 的 MSSQL 架构SSDT 工程位于 src/Sql/dbo 下使用了大量与 SQL Server 保留字重名的标识符。原文档明确列出以下几个高频冲突项[Plan][User][Group][Status][ReadOnly]不加方括号直接书写Plan或Group会直接报语法错误因此所有查询中凡是引用这些列名、表名都必须使用[方括号]语法。这一点在真实表结构中可以得到直接印证Organization.sql 定义了[Plan] NVARCHAR(50) NOT NULL、[Status] TINYINT NOT NULL等列其中[Plan]是展示用的计划名字符串如 Families、Teams真正的计费类型判断应使用[PlanType] TINYINTOrganizationUser.sql 定义了[Status] SMALLINT NOT NULL成员状态列[User]表与[Group]表同样以保留字命名涉及它们时必须写[dbo].[User]、[dbo].[Group]。从 sources.md 可以看到Bitwarden 的表既分布在src/Sql/dbo/Tables/下也分布在AdminConsole/Tables/、Vault/Tables/等按领域组织的目录中本指南涉及的两张核心表均位于 src/Sql/dbo/Tables。五、三类查询模式详解所有示例统一使用如下调用骨架SQLCMDPASSWORD内联传递密码携带-C -N m -K ReadOnly安全三件套。5.1 基本表格查询Basic tabularSQLCMDPASSWORD$BW_MSSQL_PASSWORD sqlcmd \ -S $BW_MSSQL_SERVER -U $BW_MSSQL_USERNAME -d $BW_MSSQL_DB_NAME \ -C -N m -K ReadOnly \ -Q SELECT TOP 10 Id, Name, Seats FROM [dbo].[Organization] ORDER BY Name参数说明-S/-U/-d分别指定服务器、用户名、数据库-Q执行单条查询后立即退出SELECT TOP 10是 SQL Server 限制返回行数的标准写法MySQL / PostgreSQL 中对应LIMIT 10见第六节。示例查询返回前 10 个组织的Id、Name与Seats席位数。[dbo].[Organization]的Seats列在 Organization.sql 中定义为INT NULL表示该组织购买的席位额度。5.2 标量查询Scalar-h -1-WSET NOCOUNT ON;当只需要单个数值如总数、求和时使用-h -1去掉列标题与-W去除尾部空格并配合SET NOCOUNT ON;抑制 rows affected 计数输出使结果干净到只有一行一列SQLCMDPASSWORD$BW_MSSQL_PASSWORD sqlcmd \ -S $BW_MSSQL_SERVER -U $BW_MSSQL_USERNAME -d $BW_MSSQL_DB_NAME \ -C -N m -K ReadOnly \ -h -1 -W \ -Q SET NOCOUNT ON; SELECT COUNT(*) FROM [dbo].[Cipher][dbo].[Cipher]是密码库密文cipher主表源码见 src/Sql/dbo/Vault/Tables/Cipher.sql该查询返回全部密文记录数。SET NOCOUNT ON的重要性在于sqlcmd默认会在每个语句后打印(N rows affected)之类的计数若不抑制标量输出会被污染无法直接用于脚本赋值。5.3 多语句 / CTE 查询heredoc 标准输入-i /dev/stdinGo 实现的sqlcmd对多语句 SQL 的正确传参方式是heredoc 配合-i /dev/stdin——这不是显而易见的标准用法却是唯一可靠的方式SQLCMDPASSWORD$BW_MSSQL_PASSWORD sqlcmd \ -S $BW_MSSQL_SERVER -U $BW_MSSQL_USERNAME -d $BW_MSSQL_DB_NAME \ -C -N m -K ReadOnly \ -i /dev/stdin SQL SET NOCOUNT ON; WITH MemberCounts AS ( SELECT OrganizationId, COUNT(*) AS Members FROM [dbo].[OrganizationUser] WHERE [Status] 2 -- Confirmed GROUP BY OrganizationId ) SELECT TOP 10 O.Id, O.Name, O.Seats, mc.Members FROM MemberCounts mc JOIN [dbo].[Organization] O ON O.Id mc.OrganizationId ORDER BY mc.Members DESC; SQL要点拆解单引号 heredoc 标签SQL这是 SKILL.md 特别强调的反踩坑规则——若不加引号bash 会在 SQL 送入数据库客户端之前展开其中的$破坏列引用例如$1、$type之类的字符。-i /dev/stdin告诉 Go 版sqlcmd从标准输入读取脚本不传该参数时多语句输入可能被忽略或静默失败。CTE 语义示例用MemberCounts统计每个组织的已确认成员数再与[dbo].[Organization]连接取 Top 10。其中[Status] 2的注释为-- Confirmed其语义由 OrganizationUserStatusType.cs 精确界定值状态含义0Invited仅代表邀请尚未关联具体用户1Accepted用户已接受邀请并关联账号2Confirmed管理员已授予访问权是正式成员的最终状态3Staged已由 SCIM/目录连接器预置、尚未受邀不占席位-1Revoked已撤销访问可恢复至原状态因此活跃成员数Status 2Confirmed这也是 sources.md 与 SKILL.md 的 Grounding Rules 第一条反复强调的语义约定——不可与席位统计口径Status IN (0,1,2)混为一谈。顺带一提OrganizationUser.sql 中甚至存在一个过滤索引IX_OrganizationUser_UserId_Status_Filtered其WHERE [Status] 2; -- Confirmed注释与查询语义完全一致可作为该约定的表结构级佐证。六、跨 Provider 对照把 MSSQL 查询迁移到 MySQL / PostgreSQL仓库的同级文档 mysql.md 与 postgresql.md 均以MSSQL 示例为基准列出方言差异汇总如下特性MSSQLMySQLPostgreSQL标识符引用[方括号]反引号仅Group等保留字必须双引号所有 PascalCase 必须加引号限制行数TOP nLIMIT nLIMIT n当前 UTC 时间GETUTCDATE()UTC_TIMESTAMP()now() AT TIME ZONE utc读提示WITH (NOLOCK)无无字符串拼接CONCAT()\|\|会话只读-K ReadOnly驱动层SET SESSION TRANSACTION READ ONLY;SET default_transaction_read_only on;每用户 JSON 列类型NVARCHAR(MAX)longtexttextJSON 取值JSON_MODIFY/JSON_VALUEJSON_UNQUOTE(JSON_EXTRACT(col, $.UPPERCASE-GUID))col::jsonb - UPPERCASE-GUID其中两个最常踩的坑PostgreSQL 的 PascalCase 标识符必须全部加双引号EF 创建的列区分大小写未加引号会被折叠为小写而失败这是从 MSSQL 参考迁移时的头号错误源三个 Provider 均不存在 MSSQL 的规范表值函数TVFUserCipherDetails、UserCollectionDetails——EF 提供程序没有存储过程或函数需要自行按 sources.md 中列出的函数源码重建逻辑见下文第七节。七、进一步探索架构发现查询与源码印证7.1 实时架构发现INFORMATION_SCHEMA / sys.*当静态的 SSDT 源码无法满足需求如需要完整枚举表、查找列、获取视图定义或外键关系时schema-discovery-queries.md 提供了五类现成的只读查询全部使用INFORMATION_SCHEMA与sys.*目录视图仅适用于 MSSQL其他 Provider 需使用各自的元数据体系MySQL 的INFORMATION_SCHEMA、PostgreSQL 的pg_catalog。每个查询都套用本文第五节的sqlcmd标准调用骨架其中{{SCHEMA_NAME}}几乎总是dbo列出某个 schema 下全部表与视图INFORMATION_SCHEMA.TABLESINFORMATION_SCHEMA.VIEWS的UNION ALL按列名跨 schema 模糊搜索COLUMN_NAME LIKE %{{SEARCH_TERM}}%描述单表列结构数据类型、最大长度、可空性、默认值按ORDINAL_POSITION排序获取视图定义注意先将SET TEXTSIZE 1000000调大避免默认 4 KB 截断长视图查找表的外键关系用OBJECT_SCHEMA_NAME(...)消歧跨 schema 的同名表sys.foreign_keys联表查询。7.2 权威访问控制函数sources.md 强调回答用户 X 能看到哪些密文 / 哪些集合这类问题时优先使用官方规范函数而非手写 JOIN——它们编码了成员状态、组织启用状态以及直接授权优先于组授权的优先级逻辑手写极易出错UserCipherDetails.sql[dbo].UserCipherDetails返回用户可见的全部密文及编辑/查看密码/管理权限位内部以[Status] 2 -- Confirmed过滤成员并要求O.[Enabled] 1UserCollectionDetails.sql[dbo].UserCollectionDetails返回用户可访问的集合及其有效权限OrganizationAbilityView.sql一行浓缩组织的全部功能开关。7.3 语义补充Organization表的两个状态配合 Grounding Rules 第三条Organization.Enabled 1才是组织处于启用状态的活跃标志而Organization.Status属于 Provider 管理生命周期Pending / Created / ManagedPlan只是展示字符串——聚合与过滤计费维度时应使用PlanType。这些约定都直接影响查询条件的选择细节可参阅 SKILL.md 的 Grounding Rules 一节。八、小结一条可复用的安全查询工作流综合本文一条完整的 MSSQL 只读探查流程可归纳为四步校验环境运行第一节的环境变量校验脚本确认BW_MSSQL_*四个变量齐备并用which sqlcmd确认 Go 实现客户端存在固定安全骨架每条命令都使用SQLCMDPASSWORD$BW_MSSQL_PASSWORD sqlcmd -S ... -U ... -d ... -C -N m -K ReadOnly密码内联、绝不 export按需选择模式单条表格查询用-Q标量结果加-h -1 -W与SET NOCOUNT ON;多语句 / CTE 用-i /dev/stdin配合单引号 heredoc遵守方言与语义所有保留字标识符一律加[方括号]Status 2表示 Confirmed 正式成员需要实时摸清表结构时查阅 schema-discovery-queries.md需要权威访问控制语义时直接调用UserCipherDetails/UserCollectionDetails函数。以上所有结论均可在仓库内对应文件直接验证连接与命令规范见 mssql.md整体技能约束见 SKILL.md表结构以 src/Sql/dbo 下的 SSDT 源码为准枚举语义以 src/Core/AdminConsole/Enums/OrganizationUserStatusType.cs 的 XML 文档为准。【免费下载链接】serverBitwarden infrastructure/backend (API, database, Docker, etc).项目地址: https://gitcode.com/GitHub_Trending/ser/server创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考