直接添加到网站的用户可被单独授予对网站上某安全对象的权限。
默认情况下，系统用主令牌当一个进程的线程与一个安全对象相互作用时。
因此，建议在对大量安全对象进行操作时使用SharePoint组。
以下安全对象类的成员所有权不能进行传递：服务器、登录、用户、应用程序角色和列。
每一可保护对象类型都具有一组访问权限，这些权限与特定于该类型对象的操作相对应。
可将用户和SharePoint组的权限分配到特定安全对象。
此内置函数将测试当前主体对于指定的安全对象是否具有特定的有效权限。
使用VIEWDEFINITION权限，用户能够看到被授予权限的安全对象的元数据。
允许被授权者获取所授予的安全对象的所有权。
如果使用AS选项，那么指定主体必须拥有其权限被拒绝授予的安全对象。
每个可保护对象都具有可使用权限语句授予主体的权限。
有关在不同安全对象中分配权限的详细信息，请参阅关于控制访问网站和网站内容。
每个网站都包含附加安全对象，这些安全对象在网站层次结构中具有特定位置，如下图所示。
任何人只要被分配了包含“管理权限”权限的权限级别就可以编辑任何安全对象的权限。
每个用户或SharePoint组可以具有不同安全对象的不同权限级别。
标识被允许或拒绝访问可保护对象的受信者。
获取或设置一个布尔值，该值指定与可保护对象关联的组是否已被修改。
获取或设置一个布尔值，该值指定可保护对象的所有者是否已被修改。
如果在包含该安全对象的更高级别拒绝了相同的权限，则DENY优先。
如果使用AS子句，那么指定主体必须拥有其权限被拒绝授予的安全对象。