Проблема снимается изменением в методе организации защиты. Постановка задачи - защита к каждой записи - это перебор.

Записи из таблиц в серьезной системе не выбираются на экран все под ряд.
Обычно есть некоторый фактор, по которому они фильтруются. В данном случае – это подразделения.
Допустим, нет ни какой защиты, и мы выбираем записи, относящиеся к Тюмени. Тогда каким то образом выбирается значение «Тюмень» из фактора подразделений, который очевидно является деревом. Это значение служит фильтром для отображения записей на экране (или вывода из в отчет). Система умеет использовать это значение для фильтрации. Она выдаст в результате набор записей, соответствующий «Тюмени». Еще раз отметим, что нет ни какой защиты, но система выдает указанный набор записей.

Но если система может выдать набор записей по указанному фильтру, то достаточно организовать защиту к значениям этого фильтра. Те ветки, к которым у пользователя нет доступа, он не сможет отобразить на экране, не сможет выбрать из них значения для фильтрации, а следовательно и не сможет добраться до тех записей, которые относятся к этой ветке фактора учета.

Так организована защита в БАС . Есть набор ролей пользователей, есть таблица доступа ролей к факторам учета. Подключить пользователя к массиву записей – проставить «птичку» для его роли напротив заданной ветки фактора учета. Ни каких дополнительных таблиц. Все делается мгновенно.

EasygoingЕсли я понимаю Вас правильно, то речь идет об организации секурити на уровне GUI, но ведь есть такая вещь, как QA и что тогда ?А можно расшифровать GUI и QA?

EasygoingGUI - Graphic user interfaceДа речь идет об обычных пользователях, которые работают из интерфейса.
EasygoingGUI QA - Query AnalizerА разве есть шансы защитить участки записей от программистов, которых пустили в базу данных из QA?
(Я работаю c MS SQL).

EasygoingТут не только о программистах речь идет, у Вас ведь юзеры имеют логины на сервере, так? Соответственно они имеют возможность выполнять запросы к нему и соответственно вне интерфейса могут выполнять запросы с любыми параметрами.Все пользователи входят в систему со своих клиентских рабочих мест. Если это не программисты, то на ихних компьютерах есть только один путь подключиться к базе - запустить приложение, т.е. добраться только через интерфейс.

Если пользователю на клиентской машине устанавливается инструментарий программиста или администратора БД, и этот юзер умеет им пользоваться, то его можно образно назвать "программистом". От юзера с такими вомозможностями, если его уже пустили в базу данных, защитить отдельные участки таблицы можно только теоретически.