存储过程的数据库安全性应用研究

v_Infor mation V A RCHA R2( 100) ; ) 错误信息
BEGI N , ,. / * 程序体* /
EXCEP T IO N
W HEN OT HERS T HEN
v_Er ro rCode : = SQ L CO DE;
v_Err or M sg : = SQL ERRM ;
@ U serID
v archar( 10) OU T PU T
AS SELECT @ U serID = U ser ID FR OM L _U ser WH ERE U sername = @ username A N D pass-
w o rd = @ Passwo rd I F @ @ Ro wcount < 1 SEL ECT @ U ser ID = '
Abstract Sto r ed pr oce dure is a da tabase obje ct is to co ntr ol the number o f SQ L st atements and statements by the compo sitio n o f the packa ge up the pr ocess has run f aster , can reduce ne two rk tr aff ic, high secur ity advant ages. The f lex -i bility o f the sto red pro cedur e can be used e ffe ctiv ely to enhance the safe ty database. T he autho r takes the database a ctua l de velopment a s an ex ample, has discussed the memo r y pro cess in the database secure a spect application questio n.
PL / SQL 存储过程是作为一个单独的程序编 译到 Oracle 模式中的, 过程能够接收和输出参数。 存储 过 程 用 CREAT E PROCEDU RE 语 句 来 创 建, 主要组成部分包括声明部分、程序体和异常处 理程序三部分( 如图 1 所示) 。
图 1 存储过程 的结构
声明部分主要用于变量的声明, 也可以进行类 型的定义; 程序体 包含了用 P L/ SQL 控制结构实 现的逻辑算法, PL / SQL 提供了流程控制语句, 主 要有条件控制语句和循环控制语句; 异常处理程序 是可选的, 通过编写程序来处理特定类型的错误所统的开发过程中, 存储过程的 使用具有很重要的作用。存储过程是 SQL 语句和 流程控制语句的集合, 是一组为了完成特定功能的 SQ L 语句集, 经编译后存储在数据库, 可以被有权 用户在任何需要的地方调用。就本质而言, 触发器
也是一种存储过程, 因此本文把触发器作为存储过 程的一类进行了探讨。当针对一个表发生特定的 动作时, 就会激活触发器。比如, 对一个表进行插 入、更新、删除或三种操作的结合时, 激活触发器, 也可 以 在 某 行 被 影 响 或 某 条 语 句 出 现 时 被 激 活[ 1~ 3] 。
t ion)
V A LU ES ( v_Er ro rCode, v _Er ro rM sg , v _Info r-
mation) ;
END;
7 对重要数据加密
数据库 加密 可 以 在操 作 系 统、DBMS 内 层、 DBM S 外层上实现。操作系统层次上的数据库加 密由于存在太多的问题和缺陷, 一般都不被考虑。 而在 DBM S 外层实现的加密可以有效地抵御外部 的非法入侵, 但对企业内部的攻击却没有很好的防 范措施, 另外, 这种方式还存在着使数据和应用程 序紧密结合起来、在 DBMS 之外又增加了其他的 数据管理工具、硬盘存储空间浪费大等缺陷[ 11~ 13] 。
Key words st or ed pr o cedure , database , sec ur ity Class Number T P311. 13
1 引言
现代社会, 信息是人类宝贵的资源, 以数据库 为核心的信息系统在人们的生活工作中的作用越 来越重要。数据库的安全问题关系到信息系统是 否能够正常运转, 进而关系到企业成败乃至国家利 益, 因此数据库的安全理应得到高度重视。如何使 数据库的安全得到进一步增强, 一直是计算机技术 人员努力的方向。
CR EA T E OR REPL A CE O R REPL A CE PRO CE-
DU R E
encr ypt _ data ( p _ text V AR CH A R2, p _ key
V AR CH A R2) RET U R N v archar2 IS/ / 加密 v_text V A RCH AR2( 4000) ; v_enc V A RCH A R2( 4000) ; BEGI N v_ text : = r pad ( p _tex t, ( T RU NC ( L EN GT H ( p_
总第 233 期 2009 年第 3 期
计算机与数字工程 Computer & D ig ital Eng ineer ing
V o l. 37 No . 3 1 54
存储过程的数据库安全性应用研究*
孙 娜 曹君
( 中国地质大学( 武汉) 计算机学院 武汉 430074)
摘 要 存储过程是一种数据库对象, 是 多个 SQL 语句和控 制语句组 成的被封装 起来的过 程, 具有 运行速度 快、能减 少网络流量、安全性高等优点。对存储过程的灵活使用 可以有效地提高数据 库的安全 性。作者以数 据库实际开 发为例, 探 讨了存储过程在数据库安全性方面的应用问题。
,, DECL A RE v _Er ror Code N U M BER; ) 错误代码
15 6
孙 娜等: 存储过程的数据库安全性应用研究
第 37 卷
v _Er ror M sg V A RCH A R2( 180) ; ) 错误代码所 对应的消息
用户
v_Cur rentU ser V A RCHA R2( 8) ; ) 当前数 据库
从数据存储的角度来看, 数据的加密是否可以 只作为数据的一个属性, 数据的加密存储是数据的 一种保存方式, 只关系到数据的物理存储方式。再 一个从数据和应用程序的分离、数据的维护和安全 来看, 数据库加密都应当在 DBMS 内层来实现[ 14] 。 大型的数据库 管理系统都带 有数据加密包, 比如 ORACLE 就提供了一个数据加密包: dbms_obf uscation_t oo lkit . 利用这个包, 我们可以对数据进行 DES, T riple DES 或者 M D5 加 密。以 dbms_ obf uscat ion_t oolkit 为基础, 我们可以以此为基础, 设 计存储过程来运用 DES 算法来对数据进行加密、 解密。
存储过程用 EXECUT E 命令调用或被其它的 过程所调用。触发器的基本结构与存储过程类似。 与过程的调用不同, 触发器是被事件触发而自动执 行的。因 此触 发器可 以被 用来 保 证数 据的 一致 性[ 3] 。
4 存储过程的数据库安全性应用
根据存储过程的工作方式, 灵活的使用存储过 程, 可以提高数据库的安全性。首先大量的使用存 储过程对于防止 SQ L 注入式攻击是非常有效的, SQ L 注入式攻击的一般方式是通过分析程序执行 的可能的 SQL 语句, 特别是在动态的 SQL 语句, 并在它们的基础上通过添加附加语句来获取想要 知道的信息。而存储过程就可以很好地杜绝这一 漏洞。其次触发器具有精细和强大的数据控制功 能, 它比约束更为灵活, 可以进行复杂的检查和操 作来加强数据库的完整性。最后我们还可以使用 存储过程来为特定的数据加密[ 5~ 9] 。
关键词 存储过程 数据库 安全性 中图分类号 T P311. 13
St udy on St ored Pr ocedur e D at abase Security Applicat io n
Sun N a Ca o Jun
( Com puter Co lle ge, China U niver sity o f Ge osc iences, W uhan 430074)
= 1 时。那么刚才 的 SQL 语句就变为: Sqlt ex t =
/ Select * f rom 用户表 w here 用户代码= = '111'
or'1= 1' and 密码= '0+ passw ord+ / '0 。这时候密
码输入任何内容都可以通过用户名、密码的验证。
而采用存储过程就可以避免以上问题的出现, 我们
存储过程只在创建时分析编译一次。以后每 次调用时直接执行编译了的代码, 因此执行速度会 很快。在实际开发过程中, 如果能充分利用存储过 程来完成应用系统的操作与处理, 可以大大提高系 统的运行性能[ 4] 。
3 存储过程的结构
虽然在 SQL- 99 标准中有关于过程的定义方 法。但大多数数据库系统支持它们自己的过程语 言, 例 如 Oracle 中的 P L/ SQL 和 M S SQ LServer
用户代码= '0 + nameID + / ' and 密码= '0+ pass-
w ord+ / '0 。nameID 和 passwo rd 分别代表用户表
中的用户代码和密码字段, 通过这条语句来判断用
户录入的用户代码和密码与用户表中的对应数据
是否一致。然而上述语句却存在着致命的缺陷, 如
果用户在录入用户代码时加入了以下语句: 111'o r'1