通过ASP访问SQL数据库.ppt

第十六章 通过ASP访问数据库,计算中心,本章内容,16.1 ASP、HTML简介16.2 通过ASP+ADO访问SQL数据库16.3 典型安全问题简介,16.1 ASP、HTML简介,Web访问的基本过程,客户端,Web服务器,打开浏览器，输入网址，访问远端服务器的特定页面;服务器接受请求后找到该页面,并将它传送回浏览器，我们就可以浏览想看的内容了。,通过IE浏览网页,HTML：Hypertext Markup Language，超文本标记语言，用来制作网页，这种标记语言不需要编译，直接由浏览器执行。,16.1 ASP、HTML简介,静态网页的基本结构HTML格式的网页通常被称为“静态网页”，一般以.htm或.html为后缀名。,My Homepage Hello world!,16.1 ASP、HTML简介,标记，用以向浏览器说明，包含在该标记中的内容要以网页的形式来显示。标记，该标记间包含的内容是这个HTML文件的文件头，用以说明网页的标题，连接，关键字等信息。标记，包含在这个标记中间的内容会显示为这个网页的标题，该标记是包含在标记中的。标记，包含在标记中的内容会显示在浏览器的工作区，也就是浏览网页所看见的内容，包括文字，图片，表格，表单，多媒体等。提示：与标记是独立的部分，不能互相嵌套。,16.1 ASP、HTML简介,查看网页源文件（HTML文件）,打开网页后，选择浏览器菜单命令“查看|源文件”,16.1 ASP、HTML简介,ASP简介ASP：Active Server Pages，是服务器脚本编写环境。使用ASP可以组合 HTML 页、脚本命令和 ActiveX 组件以创建和运行动态、交互、功能强大的Web服务器应用程序。ASP可用来创建动态Web页。,16.1 ASP、HTML简介,ASP不是一种语言，使用JScript或 VBScript。ASP的工作原理：(1)用户在客户端浏览器地址栏中输入ASP动态网站的网址，即向服务器发出一个浏览网页的请求。(2)服务器接受请求后，查找要浏览的网页文件，执行.asp文件，将结果转化为一个标准的HTML文件发送给客户端。,16.1 ASP、HTML简介,ASP文件格式ASP文件以.asp为扩展名，在ASP文件中，可以包含以下内容：HTML标记脚本命令：位于分界符之间的命令文本,16.1 ASP、HTML简介,IIS安装及设置ASP作为一种服务器端脚本语言，不能直接通过IE访问，需要使用微软公司的IIS（Internet Information Services）因特网信息服务，在本机或局域网上访问与调试ASP程序。,16.1 ASP、HTML简介,(1)安装IIS：【控制面板】|【添加/删除程序】|【添加Windows组件】（需要Windows安装盘）,16.1 ASP、HTML简介,(2)配置：【控制面板】|【管理工具】|【Internet信息服务】,16.1 ASP、HTML简介,16.1 ASP、HTML简介,使用简单表单获取并响应用户请求表单的作用：实现与用户的交互。通过表单可让用户填写或选择某些信息，单击提交按钮将信息发送到服务器端，服务器端收到信息后进行处理，再通过某些方法返回信息给客户端。表单元素：是一些输入域，所有输入域表单元素须放在容器中。Form元素属性：method、action、target输入域：单行文本框、滚动文本框、复选框、按钮、下列菜单等。,16.1 ASP、HTML简介,在HTML中，表单一般有如下的结构：,16.1 ASP、HTML简介,一个表单实例,单选按钮,下拉菜单,滚动文本框,按钮,单行文本框,16.2 通过ASP+ADO访问SQL数据库,ADO简介ADO，即Active Data Objects，是一种提供访问各种数据类型的连接机制，通过其内部的属性和方法提供统一的数据访问接口方法。ADO是一项容易使用并且可扩展的将数据库访问添加到Web页的技术。ASP、ADO和SQL的关系如果ASP网页要访问数据库，首先应在ASP网页中创建ADO对象，负责建立ASP网页与数据库间的连接关系；然后ADO对象通过SQL语句来操作数据库；如果执行SQL语句产生了返回数据，则ASP网页可以通过ADO对象来操作这些数据。,16.2 通过ASP+ADO访问SQL数据库,ADO访问数据库流程,操作数据,打开连接,连接数据库,关闭连接,16.2 通过ASP+ADO访问SQL数据库,ASP文件中数据库连接的主要参数要访问数据库，必须通过ADO对象中的connection对象建立一个到数据源的连接。Connection对象用来建立与数据库的连接使用前需要创建创建后调用该对象的open方法建立连接使用完需要关闭并释放掉connection对象,16.2 通过ASP+ADO访问SQL数据库,使用ADO连接到SQL Server数据库使用connection对象连接SQL Server数据库的语法：信任模式连接字符串:Provider=sqloledb;Data Source=服务器;Initial Catalog=数据库名称;Integrated Security=SSPI;安全模式连接字符串：Provider=sqloledb;Data Source=服务器;Initial Catalog=数据库名称;User Id=用户名;Password=密码;,16.2 通过ASP+ADO访问SQL数据库,举例：通过信任模式与本地机器上的studentdb数据库建立连接。,16.2 通过ASP+ADO访问SQL数据库,Connection对象的重要方法1.Open方法用来打开数据库连接2.Close方法用来关闭数据库连接3.Execute方法用来执行各种SQL命令，包括查询、添加、删除和修改全部操作。Set recordset对象=connection对象.Execute(SQL字符串）：SQL语句返回记录集时使用。connection对象.Execute(SQL字符串）：SQL语句不返回记录集时使用。,16.2 通过ASP+ADO访问SQL数据库,简单的ASP查询网页数据库的记录集要返回到客户端的浏览器上，需要通过RecordSet对象实现。RecordSet对象记录集，好比内存中的虚拟数据表，保存了满足查找条件的所有记录。一个数据库应用程序需要使用 Connection对象建立与数据库的连接，并使用Recordset对象处理返回的数据。,记录指针,EOF,BOF,16.2 通过ASP+ADO访问SQL数据库,使用RecordSet对象创建RecordSet语法：创建后需要调用open方法打开 也可以利用connection对象直接执行查询,16.2 通过ASP+ADO访问SQL数据库,读取RecordSet对象字段值的方法直接读取或 通过fields对象的value属性读取 或注：列号指每一列的编号，从0开始，即第一列编号为0，第二列编号为1，依此类推。表的列数可以通过fields对象的count属性得到。,16.2 通过ASP+ADO访问SQL数据库,例16-1：将本机“教学”数据库“学生表”的首行记录返回到页面上。,例16-1：将本机“教学”数据库“学生表”的首行记录返回到页面上（使用fields对象读取字段内容）。,response.write rs.fields(0).value&response.write rs.fields(1).value&response.write rs.fields(2).value&response.write rs.fields(3).value,16.2 通过ASP+ADO访问SQL数据库,例16-2：将本机“教学”数据库“学生表”的所有记录返回到页面上。问题：如何显示每一行记录？解决：VBScript循环语句DOloop语法：do while 条件表达式循环程序代码 loop说明：当条件为真时，执行循环程序代码，否则，执行loop后的程序代码（即不进入循环体）；通过RecordSet对象.movenext移动记录指针。常用条件表达式：RecordSet对象.eof判断是否到最后一条记录之后（End Of File）。,16.2 通过ASP+ADO访问SQL数据库,rs.movenextloopcn.closeset rs=nothingset cn=nothing%,“”换行,以表格的方式显示例16-2数据学生表学号姓名性别生日,16.2 通过ASP+ADO访问SQL数据库,数据操纵（添加/修改/删除）通常有两种方法实现数据操纵通过RecordSet对象的方法实现利用Connection对象或Command对象的Execute方法实现。Execute方法用来执行各种查询命令（SQL），可以完成查询、添加、删除和修改全部操作。本教程中，一般只有在查询记录时才建立RecordSet对象，数据操纵通过connection对象的Execute方法实现。,16.2 通过ASP+ADO访问SQL数据库,数据添加：利用Connection对象执行INSERT语句例16-3：添加一条新记录到课程表中，课程号为c10，课程名为网络技术，学时为60。,16.2 通过ASP+ADO访问SQL数据库,数据修改：利用Connection对象执行UPDATE语句例16-4：将课程号为c10的学时改为64。,16.2 通过ASP+ADO访问SQL数据库,数据删除：利用Connection对象执行DELETE语句例16-5：删除课程号为c10的记录。,16.2 通过ASP+ADO访问SQL数据库,执行SQL存储过程方法一：编写SQL语句“execute 存储过程名 参数”，再通过connection.execute或recordset.open执行。,例16-6：ASP中执行存储过程“查询学生成绩”，并将运行结果返回。rs.movenextloopcn.closeset rs=nothingset cn=nothing%,16.2 通过ASP+ADO访问SQL数据库,方法二：通过Command对象执行存储过程Command对象：称为连接对象，该对象提供了一种很简单也很有效的方法来处理查询或存储过程。创建Command对象的方法：,16.2 通过ASP+ADO访问SQL数据库,使用Command对象的属性ActiveConnection定义一个新的连接CommandType指定数据查询信息的类型（存储过程：AdCmdStoredProc）CommandTextSQL语句、表名或存储过程名使用CreateParameter方法创建新的Parameter对象，并在执行前加入到Command对象的Parameters集合中存储过程有返回值时需要使用此方法,例16-7：通过存储过程“查询成绩”，查询学号为s2008001、课程号为c01的考试成绩。,16.3 典型安全问题简介,SQL注入（SQL Injection）定义：就是利用程序员对用户输入数据的合法性检测不严或不检测的特点，故意从客户端提交特殊的代码，从而收集程序及服务器的信息，从中获取想得到的资料。是一个漏洞，也是一个攻击方法。通常别有用心者的目标是获取网站管理员的帐号和密码。,16.3 典型安全问题简介,实例演示非法登录登录SQL语句：select*from 用户表 where 用户名=admin and 密码=1234若用户名输入：admin-登录SQL语句变为：select*from 用户表 where 用户名=admin-and 密码=1234原因：没有处理特殊符号单引号和注释符,16.3 典型安全问题简介,非法修改用户名输入：admin or 1=1;delete from 用户表-登录SQL语句：Select*from 用户表Where 用户名=admin or 1=1;delete from 用户表-and 密码=1234,16.3 典型安全问题简介,其他安全问题SQL Server sa空密码上传ASP文件攻击数据库下载第三方系统默认密码,小结与提问,通过ASP访问SQL数据库了解ASP、HTML基础知识。掌握ASP文件中数据库连接主要参数和访问过程。掌握数据的简单查询、添加、修改和删除操作，会执行存储过程。网络系统的安全问题,