SQL Server 2017 在加入临时表时始终出现加密问题

Question

我们目前正在为数据库中的某些列实施 Always Encrypted，但在加入临时表时遇到了无法解释的限制。 我们查看了 Microsoft 文档并查看了许多文章，但我们找不到关于为什么这不起作用的解释。 我们正在使用最新版本的 SQL 2017：RTM-CU31。

当我们有查询并加入临时表时，SQL 服务器似乎无法检测到参数应该被加密。 调用sp_describe_parameter_encryption告诉我们 SSN 参数未加密，这是错误的：

exec sp_describe_parameter_encryption
    N'
        CREATE TABLE #AvailablePatients (
            PatientID INT NOT NULL
            PRIMARY KEY (PatientID)
        )
        SELECT [SSN], Patients.[FirstName], Patients.[LastName], [BirthDate] 
        FROM Patients
        INNER JOIN #AvailablePatients ON #AvailablePatients.PatientID = Patients.PatientID
        WHERE SSN=@SSN
        DROP TABLE #AvailablePatients',
    N'
        @SSN char(11)'

如果我们删除临时表上的连接，调用sp_describe_parameter_encryption现在可以正确地告诉我们 SSN 参数已按应有的方式加密：

exec sp_describe_parameter_encryption
    N'
        CREATE TABLE #AvailablePatients (
            PatientID INT NOT NULL
            PRIMARY KEY (PatientID)
        )
        SELECT [SSN], Patients.[FirstName], Patients.[LastName], [BirthDate] 
        FROM Patients
        WHERE SSN=@SSN
        DROP TABLE #AvailablePatients',
    N'
        @SSN char(11)'

如果我们将临时表更改为表变量， sp_describe_parameter_encryption也会告诉我们 SSN 参数已按应有的方式加密：

exec sp_describe_parameter_encryption
    N'
        DECLARE @AvailablePatients TABLE (
            PatientID INT NOT NULL
            PRIMARY KEY (PatientID)
        )
        SELECT [SSN], Patients.[FirstName], Patients.[LastName], [BirthDate] 
        FROM Patients
        INNER JOIN @AvailablePatients AS AvailablePatients ON AvailablePatients.PatientID = Patients.PatientID
        WHERE SSN=@SSN',
    N'
        @SSN char(11)'

以下是患者表的创建方式：

CREATE TABLE [dbo].[Patients](
[PatientId] [int] IDENTITY(1,1) NOT NULL,
[SSN] [char](11) COLLATE Latin1_General_BIN2 ENCRYPTED WITH (COLUMN_ENCRYPTION_KEY = [TestCek], ENCRYPTION_TYPE = Deterministic, ALGORITHM = 'AEAD_AES_256_CBC_HMAC_SHA_256') NOT NULL,
[FirstName] [nvarchar](50) NULL,
[LastName] [nvarchar](50) NULL,
[BirthDate] [date] ENCRYPTED WITH (COLUMN_ENCRYPTION_KEY = [TestCek], ENCRYPTION_TYPE = Randomized, ALGORITHM = 'AEAD_AES_256_CBC_HMAC_SHA_256') NOT NULL,
PRIMARY KEY CLUSTERED ([PatientId] ASC))

我们不理解这种行为，因为这是一个简单的用例，所以发生这种情况对我们来说没有意义。 正如您在上面看到的，tempdb 中没有加密列。 我们正在寻求解释为什么这不起作用，以及是否有办法使用临时表使其工作。

Answer 1

我在微软论坛上发布了同样的问题，我得到了一个很好的答案： https://learn.microsoft.com/en-us/answers/questions/1023525/sql-server-2017-always-encrypted-问题加入时。html 。

基本上， sp_describe_parameter_encryption 无法正确分析查询，因为临时表不存在。 这与表变量不同，因为表变量是已声明的实体。 使这项工作的诀窍是执行以下操作：

CREATE TABLE #AvailablePatients (
    PatientID INT NOT NULL
    PRIMARY KEY (PatientID)
)

EXEC sp_describe_parameter_encryption
    N'
        SELECT [SSN], Patients.[FirstName], Patients.[LastName], [BirthDate] 
        FROM Patients
        INNER JOIN #AvailablePatients ON #AvailablePatients.PatientID =  Patients.PatientID
        WHERE SSN=@SSN',
    N'
        @SSN char(11)'

DROP TABLE #AvailablePatients