Я стороник 2-го метода, т.к. при динамическом запросе придется пользователям давать непосредственные права на объекты

А какая разница - динамический запрос он везде динамический запрос.

Для такой процедуры

CREATE PROCEDURE dbo.MyProc
AS
SELECT MyField FROM dbo.MyTable

пользователю не нужны права на MyTable, т.к. внутри процедуры обращение к объектам идет от имени владельца процедуры(в данном случае dbo), а не от имени пользователя. А вот в случае динамического запроса - как раз наоборот.

ЗЫ
Почитайте в BOL про ownership chains

>Если я правильно понял, то проблема с правами доступа
>связана с EXECUT. Хотя верный себе MicroSoft никак об этом
>не написал в "ownership chains"

Про это написано в BOL про формат EXECUTE
"When a stored procedure is run that executes a string, permissions are checked in the context of the user who executes the procedure, not in the context of the user who created the procedure. "

>значит он работает в режиме модификации таблиц,
>следовательно имеет все нужные права.

Единственный "минус" - пользователь может модифицировать таблицу и не прибегая к помощи вашей процедуры, а, например, явным запросом. В этом случае, если ваша процедура содержит какую-никакую логику модификации, то эта логика, конечно же не "сработает"