Ha ragaszkodnak ahhoz a viszonylag elavult koncepcióhoz, hogy nincs köztes web API réteg, hanem a desktop app közvetlenül éri el a DB-t, akkor pont úgy kell megoldani a dolgokat, hogy az adatbázisban a domaines user pont annyi dolgot tudjon elérni, amire hivatalosan is joga van. És mindegy, hogy ezt a desktop app-ból, vagy SSMS-ből teszi. Ez a gyakorlatban T-SQL tárolt eljárásokat jelent, ezen a nyelven meglehetősen nehezen karbantartható üzleti és authorizációs logikákkal, ezért is írtam, hogy ez tipikusan elavult koncepció.
A problémán nem segít a service user koncepció. Ha bármilyen módszerrel tárolva van a service user jelszó a usereknek odaadott programban, akkor az csak security by obscurity, más néven security hole.