《数据库保护》PPT课件.ppt

《《数据库保护》PPT课件.ppt》由会员分享，可在线阅读，更多相关《《数据库保护》PPT课件.ppt（55页珍藏版）》请在三一办公上搜索。

1、SQL Server 2000,第8章 数据库保护,数据库的保护功能：数据的安全性、数据的完整性、数据的并发控制、数据库的备份与恢复,SQL Server 2000,8.1 数据库的安全性8.2 数据库的完整性8.3 数据库的并发控制8.4 数据库恢复技术,第8章 数据库保护,SQL Server 2000,8.1 数据库的安全性,数据库的安全性是指保护数据库，以防止不合法的使用造成的数据泄露、更改或破坏。不合法的使用是指不具有数据操作权的用户进行了越权的数据操作。,SQL Server 2000,一、数据库安全措施,数据库安全必须在如下几个层次上采取措施：1、物理层2、人员层3、网络层4、操

2、作系统层5、数据库系统层：有完善的访问控制机制,8.1 数据库的安全性,SQL Server 2000,二、存取控制,DBMS的存取控制机制是数据安全的一个重要保证，它确保具有数据库使用权的用户访问数据库，即保证用户只能存取他有权存取的数据。,8.1 数据库的安全性,SQL Server 2000,权限检查，每当用户发出存取数据库的操作请求后，DBMS查找数据字典，根据用户权限进行合法权检查，若用户的操作请求超出了定义的权限，系统拒绝执行此操作。,（1）存取控制机制的组成 定义用户权限，称为授权，即规定各用户的数据操作的权限。授权可以采用数据控制语言DCL或者DBMS的可视化操作工具来进行授权

3、。授权必须由具有授权资格的用户来进行，如超级用户或者数据库拥有者等，具有授权资格的用户也可以使其他用户拥有授权资格。,8.1 数据库的安全性,SQL Server 2000,（2）存取控制机制的类别,强制存取控制(MAC):每个数据对象被标以一定的密级，每个用户确定一个许可级别，对于任意一个对象，只有具有合法许可证的用户可以存取，强制存取控制比较严格。,自主存取控制(DAC):用户自主控制对数据库对象的操作权限，哪些用户可以对哪些对象进行操作，完全决定取决于用户之间的授权。自主存取控制比较灵活，但有时容易失控。,8.1 数据库的安全性,SQL Server 2000,（3）存取权限 存取权限是

4、由两个要素组成：数据对象和操作类型。即每个用户能对哪些数据进行操作和进行什么样的操作。,8.1 数据库的安全性,SQL Server 2000,（4）授权粒度 衡量授权机制是否灵活的一个重要指标是授权粒度，即可以定义的数据对象的范围。粒度越细，即可以定义的数据对象的范围越小，授权系统就越灵活。但系统定义和检查权限的开销也越大。,8.1 数据库的安全性,SQL Server 2000,三、其它数据库安全性手段,定义视图 DBMS通过视图可以将与其无关的数据隐藏起来，从而提供一定程度的安全保护。但视图主要还是为了提供数据独立性，其安全保护功能不太精细。,审计 审计就是将所有用户的所有操作内容和操作

5、时间记录在一个专门的数据库（称为审计日志）中。这样一旦发生非法存取，就可以利用审计来找出非法存取数据的人、时间、操作内容等信息。,数据加密 防止数据库中的数据在存储和传输中失密的有效手段。,8.1 数据库的安全性,SQL Server 2000,四、SQL SERVER的安全体系结构,(1)WINDOWSNT操作系统的安全,(2)SQL SERVER运行的安全防线,(3)SQL SERVER数据库的安全防线,(4)SQL SERVER数据库对象的安全防线,OS USERLOGINDATABASE USER授权或定义角色,8.1 数据库的安全性,SQL Server 2000,五、SQL SER

6、VER的安全认证模式 安全认证是用来确认登录SQL Server的用户的登录帐号和密码的正确性，由此来验证其是否具有连接SQL Server的权限。SQL Server 2000提供了两种确认用户的认证模式：,(1)WINDOWSNT安全认证模式,SQL服务器通过 Windows 身份验证连接到 SQL Server，它允许一个用户登录到一个SQL服务器上时不必再提供一个单独的登录帐号和口令。,(2)混合安全认证模式,指定用户可以使用 SQL Server 身份验证或 Windows 身份验证连接到 SQL Server。这种验证为混合模式身份验证。,8.1 数据库的安全性,SQL Serve

7、r 2000,六、SQL SERVER 的用户、权限管理,1、用户的种类 在SQL SERVER中，用户分为登录用户(login)和数据库操作用户。登录用户是用于进入SQL SERVER的用户。数据库用户是操作数据库的用户。login用户只有成为数据库用户后才能访问数据库。SQL Server有两个login用户：sa和BULTIN/administrators，sa是系统管理员的简称，BULTIN/administrators是WindowsNT的系统管理员，它们都是超级用户，对数据库拥有一切权限。SQL Server有一缺省数据库用户：dbo(数据库拥有者），拥有一切数据库操作权限。,8.

8、1 数据库的安全性,SQL Server 2000,2、权限管理 权限用来指定授权用户可以使用的数据库对象和这些授权用户可以对这些数据库对象执行的操作。在SQL Server中包括二种类型的权限：即对象权限、语句权限。这两种权限可以通过两种方式来管理：（1）使用SQL Server 企业管理器管理，（2）可用SQL 语句的grant、revoke和deny三种命令来实现管理。,8.1 数据库的安全性,SQL Server 2000,3、角色 角色：具有一定权限的用户组合。利用角色，SQL Server管理者可以将某些用户设置为某一角色，这样只对角色进行权限设置便可以实现对该类用户的所有用户权限

9、的设置，大大减少了管理员的工作量。,8.1 数据库的安全性,SQL Server 2000,4、SQL权限控制功能 1）授予权限 格式1：grant 对象特权组 on 对象 to 用户组|public with grant option对象特权：select、insert、update和delete或all privileges对象：表、列（字段）、行（元组）视图、with grant option：可以授权给其它用户 格式2：grant 语句特权组 to 用户组|public with grant option对象特权和语句特权：参见P225,8.1 数据库的安全性,SQL Server 2

10、000,2）收回权限 格式：revoke 权限组 on 对象 from 用户组|public 权限组：对象权限或语句权限 对象：表、列（字段）、视图、,3）拒绝访问权限 格式：deny 权限组 on 对象 to 用户组|public 权限组：对象权限或语句权限 对象：表、列（字段）、视图、,8.1 数据库的安全性,SQL Server 2000,例1：将学生表的查询和插入权赋给用户dyh,grant select,insert on 学生 to dyh,例2：将学生表的查询和插入权赋给用户dyh 1,并且dyh 1可以授权给其它用户,例3：收回用户dyh 2对学生表的查询和插入权限,revok

11、e select,insert on 学生 from dyh 2,例4:把对选课表的全部权限授予用户dyh 1和dyh 2,grant all privileges on 选课 to dyh 1,dyh 2,grant select,insert on 学生 to dyh 1 with grant option,8.1 数据库的安全性,SQL Server 2000,例7：把建立新表的权限授予用户dyh 1,grant create table to dyh 1,例8：收回用户dyh 1建立新表的权限,revoke create table from dyh 1,例5:把查询学生表和修改学生姓

12、名的权限授予用户dyh 3,grant select,update(姓名)on 学生 to dyh 3,例6：把对课程表的查询权限授予所有用户,grant select on 课程 to public,8.1 数据库的安全性,SQL Server 2000,8.2.1 完整性约束条件及完整性控制一、数据库的完整性,数据库的完整性是指数据的正确性和相容性。正确性指数据库中的数据本身是正确的。如：学生的年龄必须是整数，取值范围为6，性别只以是男、女。相容性指数据之间的关系是正确的，如：学号必须唯一，学生所选的课必须是已经开设的课等等。,数据的完整性和安全性是数据库保护的两个不同的方面。安全性是防止

13、用户非法使用数据库，完整性是防止合法用户使用数据库时向数据库中加入不合语义的数据。也就是说，安全性措施的防范对象是非法用户和非法操作，完整性措施的防范对象是不合语义的数据,8.2 数据库的完整性,SQL Server 2000,为维护数据库的完整性，分以下两步进行：（1）首先在定义模式时就要定义好加在数据之上的语义约束条件（数据的要求），这种语义约束条件称为数据库完整性约束条件，它们作为模式的一部分存入数据库中。（2）用户对数据库进行日常操作时，DBMS能自动根据完整性约束条件来判断这些操作是否满足完整性条件，称为完整性检查。,8.2 数据库的完整性,SQL Server 2000,二、完整性

14、约束条件,完整性约束条件作用的对象可以有列、元组和关系三种粒度。其中对列的约束有取值类型、范围、精度、排序等几种；对元组的约束指元组中各字段间的联系约束；对表的约束指若干元组间、关系中以及关系之间的联系的约束。,完整性约束条件涉及的三类对象，其状态可以是静态的，也可以是动态的。静态指数据无论在什么时候都应满足的条件 动态指数据变化时新旧数据之间应满足的条件。,8.2 数据库的完整性,SQL Server 2000,综合上述两方面，可以将完整性约束条件分为如下六类：,完整性约束条件,静态列级约束条件,静态元组级约束条件,静态表级约束条件,动态列级约束条件,动态元组级约束条件,动态表级约束条件,静

15、态,动态,8.2 数据库的完整性,SQL Server 2000,1、静态列级约束主要有这么几方面：（1）列的数据类型，包括类型、长度、精度等如姓名的类型是字符串，长度为10；年龄的类型是整型；（2）列的数据格式如日期格式、电子邮件格式，身份证号格式（3）值的范围如考试的成绩的范围在0100，性别的范围是男、女（4）空值约束如学号不能为空值，成绩可以为空值。定义为主属性的列自动不能为空值。其它列也可以规定是不是允许为空，如年龄。,8.2 数据库的完整性,SQL Server 2000,2、静态元组约束 规定一个元组中各个列之间的约束关系。例如，一个订货关系有发货量和订货量等列，可以规定发货量不

16、得超过订货量。又例如职工的应发工资=总收入-总支出。,3、静态关系约束 涉及多个元组多个列甚至是多个关系的数据联系和约束。常见的静态关系约束有以下四种：（1）实体完整性约束（2）参照完整性约束（3）函数依赖约束（4）统计约束,8.2 数据库的完整性,SQL Server 2000,一般情况下，函数依赖关系都是隐含在关系模式中，如定义了主键后，对主键值的唯一性要求，自然就确定了函数依赖的关系。但有时为了使信息不过于分离，常常不过分追求规范化，在这种情况下，另外的函数依赖关系需要显式地表示出来。如AB，就要求B不同时，A不能相同。,统计约束是指某个属性值与另外一个关系多个元组的统计值之间的约束关系

17、。如部门经理的工资是本部门职工的平均工资的2倍以上，高工的最低工资要高于工程师的最高工资。,8.2 数据库的完整性,SQL Server 2000,4、动态列级约束 规定修改列定义或列值时应满足的约束条件（1）修改列定义时的约束 如可以规定原来允许空值的列，如果有了空值，则不能改为不允许空值。（2）修改列值时的约束：新旧值之间需要满足某种约束条件。如学生的年龄只能改大不能改小。,5、动态元组约束 一个元组值改变时新旧数据之间应满足的关系。如职工的工龄增加时工资不能减少。,8.2 数据库的完整性,SQL Server 2000,6、动态关系约束 动态关系约束涉及整个关系或几个关系之间的数据变化时

18、新旧数据之间应满足的约束条件。如事务一致性，原子性等，动态关系约束实现起来比较复杂，系统开销大。,如产品销售：销售表中增加一条销售记录，同时要修改库存表中该商品的记录。,8.2 数据库的完整性,SQL Server 2000,三、完整性控制机制的功能,DBMS的完整性控制机制应具备的功能（1）定义功能：DBMS提供定义完整性约束条件的机制（2）检查功能：DBMS检查用户操作是否违背了完整性约束条件这里分两种情况：一是对用户的操作立即进行完整性检查，这类约束称为立即执行的约束；另一类不是对每一条操作进行检查，而是对一组操作后检查（如事务），这类约束称为延迟执行的约束。如银行从帐号A转一笔钱到帐号

19、B，必须等两个操作都执行后才检查完整性。（3）控制功能：当发现用户操作违背完整性约束条件时，DBMS采取什么措施。比较常见的措施是拒绝执行，但也可以采取其他方法。,8.2 数据库的完整性,SQL Server 2000,四、完整性规则的数学表示,一条完整性规则可以用一个五元组(D,O,A,C,P)来表示：,D：数据对象O：对数据对象的操作A：约束条件C：元组条件P：违反完整性约束时触发的过程(事件),完整性约束可以表达如下：当用户对满足C的数据D进行O操作时，应遵从约束条件A，否则DBMS将采取P措施。,8.2 数据库的完整性,SQL Server 2000,例：学号不能为空。D：SNO属性；

20、O：当用户插入或修改时触发完整性检查；A：SNO不能为空；C：无（即所有元组）；P：拒绝执行。,8.2 数据库的完整性,SQL Server 2000,五、实现参照完整性要考虑的几个问题,1、外码能否为空 例如：职工表中的部门号是外码，职工表中的部门号可以为空，表明该职工没有分配部门；选课表中的学号和课程号则不能为空，因为选课记录必须要指明谁选什么课。,结论：当外码是主属性时则不能为空,8.2 数据库的完整性,SQL Server 2000,2、删除被参照关系中的元组时的问题,有三种策略1）级联删除。将参照表中所有外码值与被参照表中要删除的元组主码值相同的元组一起删除。如将某学生删除时，将选课

21、表中相应的记录也删除。2）受限删除。仅当参照表中没有任何元组的外码值 与被参照表中要删除的元组主码值相同时，系统才执行删除操作，否则拒绝。如只有选课表中无记录的学生才可从学生表中删除。3)置空值删除。删除被参照表的元组，并将参照表中相应元组的外码值置空值。,8.2 数据库的完整性,SQL Server 2000,3、在参照关系中插入元组时的问题,当向参照表中插入某个元组，而被参照表中不存在主码与参照表外码相等的元组时，可有二种策略：1）受限插入。仅当被参照表中存在相应的元组，其主码值与参照表中要插入的元组的外码值相同时，系统才执行删插入操作，否则拒绝。如只有在学生表中存在该学生，才能在选课表中

22、插入该学生的选课记录。2）递归插入。首先在被参照表中插入相应的元组，其主码值等于参照表中要插入的元组的外码值，然后向参照表中插入元组。例如先在学生表中插入该学生，然后再插入该学生的选课记录。,8.2 数据库的完整性,SQL Server 2000,4、修改被参照关系中的元组时的问题,当修改被参照表的某个元组，而参照表中存在若干元组，其外值与被参照表要修改的元组的主码值相等时，可有三种策略,1）级联修改。如果要修改被参照表中的某个元组的主码值，则参照表中相应的外码值也作相应的修改。2）受限修改。如果参照表中有外码值与被参照表中要修改的主码值相同的元组，则拒绝修改。3)置空值修改。修改被参照表的元

23、组，并将参照表中相应元组的外码值置空值。,8.2 数据库的完整性,SQL Server 2000,8.2.2 SQL Server的数据完整性及实现方法,（1）NULL(NOT NULL)：某个列允许是空值（不允许空值）。（2）CHECK：某个列的值必须满足的条件。（3）PRIMARY KEY：主码定义，主码不能重复，不允许为空值。（4）UNIQUE：不能重复。（5）FOREIGN KEY：外键定义（参照完整性）,1.SQL Server的约束类型,8.2 数据库的完整性,SQL Server 2000,2.SQL Server实现数据完整性的方法,(1)定义约束(2)缺省(3)规则(4)触发

24、器,8.2 数据库的完整性,SQL Server 2000,一、事务 1、定义：事务是用户定义的一个数据库操作序列，这些操作要么全做，要么全不做，是一个不可分割的工作单位。,2、事务定义语句 在SQL中，关于事务定义的语句有三条：BEGIN TRANSACTION 事务开始 COMMIT 提交，事务正常结束 ROLLBACK 回滚，事务被撤销，事务中已完成的操作全部撤销，回滚到事务开始时的状态。,8.3 数据库的并发控制,SQL Server 2000,3、事务的特性 原子性：一个事务是一个不可分割的工作单位，事务中包括的操作要么都做，要么都不做。一致性：事务执行的结果必须是使数据库从一个一致

25、性状态变到另一个一致性状态。当数据库中只包含成功事务提交的结果时，就称数据库处于一致性状态。隔离性：一个事务内部各操作的执行不会被其他事务干扰。持续性：或称永久性，指一个事务一旦提交，它对数据库的数据改变就是永久的，不会被其他事务撤销。,8.3 数据库的并发控制,SQL Server 2000,事务特性可能遭到破坏的原因：多个事务并行运行时，不同事务的操作交叉执行事务在运行过程中被强行停止,8.3 数据库的并发控制,SQL Server 2000,二、并发控制 数据库是一个共享资源，可以供多个用户使用。这样很可能会有几个用户同时操作数据库，就有可能发生冲突。数据库的并发控制是指控制数据库，防止

26、多用户并发使用数据库时造成数据错误和程序运行错误，保证数据完整性。,8.3 数据库的并发控制,SQL Server 2000,1、事务并发操作可能产生的数据不一致问题,（1）丢失修改：一个事务对数据库的修改由于另一事务的并发操作而丢失。,例：飞机订票系统，甲乙售票员同时卖出同一航班的机票。甲售票员 乙售票员事务1 事务2读出机票余额A=16 读出机票余额 A=16更新AA-1写回A=15 更新 AA-3 写回A=13,由于事务2提交的结果覆盖了事务1提交的结果，使事务1对数据库的修改丢失。,8.3 数据库的并发控制,SQL Server 2000,（2）不可重复读：事务前后两次从数据库读取同一

27、数据，结果却不一样。,事务1 事务2读A=50读B=100 求和=150 更新 读B=100 B B*3 写回B=300读A=50读B=300求和=350,同样的数据两次读出不一样,8.3 数据库的并发控制,1、事务并发操作可能产生的数据不一致问题,SQL Server 2000,（3）读“脏”数据：事务T1修改某一数据，事务T2读取同一数据，而T1由于某种原因被撤消，则T2读到的数据则为“脏”数据，即不正确的数据。,事务1 事务2读C=100CC*2写回C=200 读C=200ROLLBACK,事务2读取的C是无效数据。（C的值应是100）,8.3 数据库的并发控制,1、事务并发操作可能产生

28、的数据不一致问题,SQL Server 2000,出现上述数据不一致的主要原因是没有保证事务的隔离性。并发控制就是要用正确的方式调度并发操作，使一个用户事务的执行不受其他事务的干扰，从而避免造成数据的不一致性。,8.3 数据库的并发控制,SQL Server 2000,2、锁,并发控制的主要方法是加锁。,锁分以下两种：排它锁（X锁、写锁）：若事务T对数据对象A加X锁，则T可读写A，其他事务既不能读取和修改A，也不能对A加任何锁，直到T释放A上的X锁。共享锁（S锁、读锁）：若事务T对数据对象A加S锁，则T可读A，其他事务可对A加S锁，但不能加X锁。直到T释放A上的S锁。,8.3 数据库的并发控制

29、,SQL Server 2000,注意：（1）事务要对数据对象进行写操作，必须先对数据对象加X锁，操作完后释放锁。（2）事务要对数据对象进行读操作，必须先对数据对象加S锁，操作完后释放锁。（3）事务T1在对数据对象A进行写操作时，事务T2对A既不能写，也不能读。（4）事务T1在对数据对象A进行读操作时，事务T2对A可以读，但不能写。,8.3 数据库的并发控制,SQL Server 2000,3、封锁协议,在对数据对象加锁时，还需要约定一些规则，如：何时申请X锁或S锁，持续时间，何时释放等。这些规则称为封锁协议。封锁协议分为三级，各级封锁协议对并发操作带来的丢失修改、不可重复读和读“脏”数据等数

30、据不一致问题，可以在不同程度上予以解决。,8.3 数据库的并发控制,SQL Server 2000,尽管系统中采取了种种安全性措施，数据库的破坏依然还是不可避免的。如硬件故障、软件错误、操作失误及人为恶意破坏等。所以数据库管理系统必须具有将被破坏的数据库恢复到某一已知的正确状态的功能，这就是数据库的恢复功能。,8.4 数据库保护,SQL Server 2000,一、故障的种类,1、事务故障,事务在运行过程中由于故障中途中止。,原因：输入错误、运算溢出、违反完整性约束、程序错误等。,处理办法：在不影响其他事务运行的情况下，强行回滚该事务。,8.4 数据库保护,SQL Server 2000,2、

31、系统故障,造成系统停止运转，系统必须重新启动,故障原因：操作系统、DBMS、操作失误、硬件故障、突然停电等造成系统停止运行,处理办法：系统重新启动后，强行撤销所有未完成事务，重新执行所有已提交的事务。,8.4 数据库保护,SQL Server 2000,3、介质故障,故障：数据部分丢失或全部丢失,原因：外存损坏。,处理办法：,（1）用数据库备份副本装入覆盖当前数据库。,（2）由于副本是一段时间之前备份的，因此需要重做副本以后的事务,8.4 数据库保护,SQL Server 2000,二、数据恢复的实现技术,1、恢复机制涉及的两个关键问题：（1）如何建立备份数据（2）如何利用备份数据实施数据库备

32、份,2、建立备份数据最常用的技术是：数据转储和登录日志文件,（1）数据转储：整个数据库复制一份保存起来，做为后备副本。,转储类型：按数据库状态数据转储分为动态转储和静态转储。按数据转储方式数据转储分为海量转储和增量转储。,8.4 数据库保护,SQL Server 2000,（2）日志文件 日志文件用来记录对数据库的更新操作的文件。,日志文件中包括很多日志记录。每条记录就是一次操作。每个记录的内容为：事务标识操作的类型（插入、删除或修改）操作对象更新前的旧值（对插入为空）更新后的新值（对删除为空）,日志文件的用途：用于数据恢复。,8.4 数据库保护,SQL Server 2000,3、SQL Server 的数据备份和恢复,SQL Server 具有三种备份形式：完全备份、事务日志备份和增量备份,SQL Server 的数据备份和恢复可以通过T-SQL语句或使用SQL Server的Enterprise Manager实现。,例1：backup database dyh to disk=d:dyh1.bak,例2：restore database dyh from disk=d:dyh1.bak,例3：sp_detach_db ddd 分离数据库,例4：sp_attach_db ddd,d:ddd_data.mdf,d:ddd_log.ldf附加数据库,8.4 数据库保护,