как ограничить доступ пользователя к системным таблицам, при этом не нарушая работы клиентского приложения? Роль приложения не предлагайте - этот способ я знаю

Например, организовав на основе ownership chains доступ только через хранимые процедуры.

Пожалуйста попроще и попонятнее
Если имеется процедура dbo.proc1 внутри которой идет обращение к таблице dbo.Table1, то пользоваетлю User1 достаточно дать разрешение на выполнение dbo.proc1 . Каких либо разрешений на таблицу dbo.Table1 ему давать не нужно. Такой метод и называется ownership chains.

Т.е. можно все запросы к любым объектам оформить через хранимые процедуры и разрешить пользователям только запуск этих процедур, не давая никаких разрешений на другие объекты. Если процедура обращается к объектам, владельцем которых является и владелец процедуры (для удобства лучше, чтобы это был dbo), то доступ к ним осуществляется от имени владельца процедуры, а не пользователя запустившего последнюю.


NB! Это правило не распространяется на динамические запросы.