❶ 想问下SQL语言可以自动实现关系数据库的规范化的吗
不能，
SQL语言是关系数据库的国际标准语言，具有数据定义、查询、操纵和控制功能，为结构查询语言。
❷ SQL语言简称是什么SQL语言可以自动实现关系数据库的规范化吗
SQL是简称..
结构化查询语言(Structured Query Language)简称SQL.
关系型数据库的规范化（normalization）是通过修改表以减少冗余和矛盾的一系列步骤.
❸ 如何防范SQL注入漏洞及检测
以下是OMG我为大家收集整理的文章，希望对大家有所帮助。
SQL注入(SQLInjection)漏洞攻击是目前网上最流行最热门的黑客脚本攻击方法之一，那什么是SQL注入漏洞攻击呢?它是指黑客利用一些Web应用程序(如：网站、论坛、留言本、文章发布系统等)中某些存在不安全代码或SQL语句不缜密的页面，精心构造SQL语句，把非法的SQL语句指令转译到系统实际SQL语句中并执行它，以获取用户名、口令等敏感信息，从而达到控制主机服务器的攻击方法。
1. SQL注入漏洞攻击原理
1. 1 SQL注入漏洞攻击实现原理
SQL(Structured Query Language)是一种用来和数据库交互的语言文本。SQL注入的攻击原理就是攻击者通过Web应用程序利用SQL语句或字符串将非法的数据插入到服务器端数据库中，获取数据库的管理用户权限，然后将数据库管理用户权限提升至操作系统管理用户权限，控制服务器操作系统，获取重要信息及机密文件。
SQL注入漏洞攻击主要是通过借助于HDSI、NBSI和Domain等SQL注入漏洞扫描工具扫描出Web页面中存在的SQL注入漏洞，从而定位SQL注入点，通过执行非法的SQL语句或字符串达到入侵者想要的操作。下面以一段身份验证的.NET代码为例，说明一下SQL 注入攻击的实现方法。
SqlConnectionnwConn = new SqlConnection((string)ConfigurationSettings.AppSettings["DBconnStrings"]); string queryStr = "SELECT userid,userpwd, username,type FROM users where userid='" + Txtusername.Text +"'";
DataSet userSet = new DataSet();
SqlDataAdapter userAdapter = newSqlDataAdapter(queryStr, nwConn);
userAdapter.Fill(userSet, "Users");
Session["UserID"] =Txtusername.Text.ToString();
Session["type"] =type.Text.ToString();
Response.Redirect("/Myweb/admin/login.aspx");
从上面的代码中可以看出,程序在与数据库建立连接得到用户数据之后,直接将username的值通过session传给login.aspx，没有进行任何的过滤和处理措施, 直接用来构造SQL 语句, 其危险系数是非常高的, 攻击者只要根据SQL 语句的编写规则就可以绕过身份验证，从而达到入侵的目的。
1. 2 SQL注入漏洞攻击分析
SQL注入可以说是一种漏洞，也可以说是一种攻击。当程序中的变量处理不当，没有对用户提交的数据类型进行校验，编写不安全的代码，构造非法的SQL语句或字符串，都可能产生这个漏洞。
例如Web系统有一个login页面，这个login页面控制着用户是否有权访问，要求用户输入一个用户名和口令，连接数据库的语句为：
“select * from users where username = 'username' andpassword = 'password'”
攻击者输入用户名为aa or 1=1口令为1234 or 1=1之类的内容。我们可以看出实际上攻击者并不知道真正的用户名、口令，该内容提交给服务器之后，服务器执行攻击者构造出的SQL命令，但由于攻击者输入的内容非常特殊，所以最后得到的SQL命令变成：
“select * from users where username = 'aa' or 1=1 andpassword = '1234' or 1=1”
服务器执行查询或存储过程，将用户输入的身份信息和数据库users表中真实的身份信息进行核对，由于SQL命令实际上已被修改，存在永远成立的1=1条件，因此已经不能真正验证用户身份，所以系统会错误地授权攻击者访问。
SQL 注入是通过目标服务器的80端口进行的，是正常的Web访问，防火墙不会对这种攻击发出警告或拦截。当Web服务器以普通用户的身份访问数据库时，利用SQL注入漏洞就可能进行创建、删除、修改数据库中所有数据的非法操作。而当数据库以管理用户权限的身份进行登录时，就可能控制整个数据库服务器。
SQL注入的方法很多，在以手动方式进行攻击时需要构造各种各样的SQL语句，所以一般攻击者需要丰富的经验和耐心，才能绕过检测和处理，提交语句，从而获得想要的有用信息。这个过程需要花费很多的时间，如果以这种手动方式进行SQL注入漏洞攻击，许多存在SQL注入漏洞的ASP、JSP、PHP、JAVA等网站就会安全很多了，不是漏洞不存在了，而是手动入侵者需要编程基础，但现在攻击者可以利用一些现成的黑客工具来辅助SQL注入漏洞攻击，加快入侵的速度，使SQL注入变得轻而易举。
由于SQL注入漏洞攻击利用的是通用的SQL语法，使得这种攻击具有广泛性。理论上说，对于所有基于SQL语言的数据库管理系统都是有效的，包括MSSQLServer、Oracle、DB2、Sybase和MySQL等。当然，各种系统自身的SQL扩展功能会有所不同，因此最终的攻击代码可能不尽相同。
1. 3 SQL注入漏洞攻击过程
(1)绕过身份验证
如一个login界面，需要输入用户名和口令，然后Post到另一个页面，进行身份验证,因此攻击者只需在用户名和口令的输入框中都输入aa or’1’=’1’的内容，那么攻击者就可以通过欺骗的验证方式而直接进入下一个页面，并拥有和正常登录用户一样的全部特权。原因是什么呢? 我们比较一下正常用户登录和攻击者登录时的两种SQL语句：
1)正常用户(如用户名为admin，口令为1234567) ：
SQL= " selectfrom users where username = ’admin’and password= ’1234567’ ";
2)攻击者(用户名和口令都为aa or’1’=’1’) ：
SQL= " select * from users where username='aa or’1’=’1’'and password = ' aa or’1’=’1’'";
可以看到由and连接的两个条件都被一个永远成立的1=1所代替，执行的结果为true，数据库会认为条件恒成立，会返回一个true，让攻击者以合法身份登录进入下一个页面。
(2)执行非法操作
如一个查询页面select1.asp? id=1，编程人员原本设计意图是显示id为1的查询信息，而攻击者利用程序中没有对id内容进行检查的机制，插入自己的代码。
从select1.asp中摘录一段关键代码：
SQL= " select *from photo where photoid= 'id'";
可以看到，id没有进行任何的处理，直接构成SQL语句并执行，而攻击者在知道该系统数据库中表名及字段名的情况下，利用SQL语句特性(分号是将两句SQL 语句分开的符号)，直接向数据库Tuser表中添加记录：
select1.asp? id= 1;Insertinto Tuser (username,password,type) values ('hack','1234567','管理员')，然后攻击者就可以直接用hack进行登录了。通过这样的方法，攻击者还可以对系统做任何的事情，包括添加、删除、修改系统资源的操作。
(3)执行系统命令
如果Web主机使用MSSQL数据库管理系统，那么攻击者就可以用到xp_cmdshell这个扩展存储过程，xp_cmdshell是一个非常有用的扩展存储过程，用于执行系统命令，比如dir、net等，攻击者可以根据程序的不同，提交不同的语句：
execmaster.dbo.xp_cmdshell " dir "; exec master.dbo.xp_cmdshell" net user hack 1234567 /add ";
execmaster.dbo.xp_cmdshell " net localgroup administrators hack /add ";
这样就可以向Web主机系统中成功添加了一个管理员帐户。
2. SQL注入漏洞攻击的检测方式及方法
2. 1检测方式
SQL注入漏洞攻击检测分为入侵前的检测和入侵后的检测。入侵前的检测，可以通过手工方式，也可以使用SQL注入漏洞扫描工具软件。检测的目的是为预防SQL注入漏洞攻击，而对于SQL注入漏洞攻击后的检测，主要是针对审计日志的查看，SQL注入漏洞攻击成功后，会在Web Service和数据库的审计日志中留下“痕迹”。
2. 2检测方法
(1)动态SQL检查
动态的SQL语句是一个进行数据库查询的强大的工具，但把它和用户输入混合在一起就使SQL注入成为了可能。将动态的SQL语句替换成预编译的SQL或者存储过程对大多数应用程序是可行的。预编译的SQL或者存储过程可以将用户的输入作为参数而不是命令来执行，这样就限制了入侵者的行动。当然，它不适用于存储过程中利用用户输入来生成SQL命令的情况。在这种情况下，用户输入的SQL命令仍可能得到执行，数据库仍然存在SQL注入漏洞攻击的危险。
(2)有效性校验
如果一个输入框只可能包括数字，那么要通过验证确保用户输入的都是数字。如果可以接受字母，检查是不是存在不可接受的字符，那就需要设置字符串检查功能。确保应用程序要检查以下字符：分号、等号、破折号、括号以及SQL关键字。
(3)数据表检查
使用SQL注入漏洞攻击工具软件进行SQL注入漏洞攻击后，都会在数据库中生成一些临时表。通过查看数据库中最近新建的表的结构和内容，可以判断是否曾经发生过SQL注入漏洞攻击。
(4)审计日志检查
在Web服务器中如果启用了审计日志功能，则Web Service审计日志会记录访问者的IP地址、访问时间、访问文件等信息，SQL注入漏洞攻击往往会大量访问某一个页面文件(存在SQL注入点的动态网页)，审计日志文件会急剧增加，通过查看审计日志文件的大小以及审计日志文件中的内容，可以判断是否发生过SQL注入漏洞攻击事件;另外还可以通过查看数据库审计日志，查询某个时间段是否有非法的插入、修改、删除操作。
(5)其他
SQL注入漏洞攻击成功后，入侵者往往会添加特权用户(如：administrator、root、sa等)、开放非法的远程服务以及安装木马后门程序等，可以通过查看用户帐户列表、远程服务开启情况、系统最近日期产生的一些文件等信息来判断是否发生过入侵。
3. SQL注入漏洞防范措施
SQL注入漏洞攻击的防范方法有很多种，现阶段总结起来有以下方法：
(1)数据有效性校验。如果一个输入框只可能包括数字，那么要通过校验确保用户输入的都是数字。如果可以接受字母，那就要检查是不是存在不可接受的字符，最好的方法是增加字符复杂度自动验证功能。确保应用程序要检查以下字符：分号、等号、破折号、括号以及SQL关键字。另外限制表单数据输入和查询字符串输入的长度也是一个好方法。如果用户的登录名最多只有10个字符，那么不要认可表单中输入10个以上的字符，这将大大增加攻击者在SQL命令中插入有害代码的难度。
(2)封装数据信息。对客户端提交的数据进行封装，不要将数据直接存入cookie中，方法就是在编程的代码中，插入session、if、try、else，这样可以有效地防止攻击者获取cookie中的重要信息。
(3)去除代码中的敏感信息。将在代码中存在的用户名、口令信息等敏感字段删除，替换成输入框。
SQL=" select from users where username = ’admin’and password= ’1234567’ "
如：这样显然会暴露管理员的用户名、口令信息。可以将其修改成：
SQL= " select * from users where username='" +Txtuser.Text + "' and userpwd='" + Textpwd.Text + "'"
这样就安全了很多，入侵者也是不会轻易的就获取到用户名、口令信息。
(4)替换或删除单引号。使用双引号替换掉所有用户输入的单引号，这个简单的预防措施将在很大程度上预防SQL注入漏洞攻击，单引号时常会无法约束插入数据的Value，可能给予输入者不必要的权限。用双引号替换掉单引号可以使大部分SQL注入漏洞攻击失败。 如：
“select* from users where username='" + admin + "' and userpwd='" + 1234567+ "'”
显然会得到与
“select * from users where username='admin' and password= '1234567'”
相同的结果。
(5)指定错误返回页面。攻击者有时从客户端尝试提交有害代码和攻击字符串，根据Web Service给出的错误提示信息来收集程序及服务器的信息，从而获取想得到的资料。应在Web Service中指定一个不包含任何信息的错误提示页面。
(6)限制SQL字符串连接的配置文件。使用SQL变量，因为变量不是可以执行的脚本，即在Web页面中将连接数据库的SQL字符串替换成指定的Value，然后将Web.config文件进行加密，拒绝访问。
(7)设置Web目录的访问权限。将虚拟站点的文件目录禁止游客用户(如：Guest用户等)访问，将User用户权限修改成只读权限，切勿将管理权限的用户添加到访问列表。
(8)最小服务原则。Web服务器应以最小权限进行配置，只提供Web服务，这样可以有效地阻止系统的危险命令，如ftp、cmd、vbscript等。
(9)鉴别信息加密存储。将保存在数据库users表中的用户名、口令信息以密文形式保存，也可以对users表进行加密处理，这样可以大大增加对鉴别信息访问的安全级别。
(10)用户权限分离。应尽可能的禁止或删除数据库中sa权限用户的访问，对不同的数据库划分不同的用户权限，这样不同的用户只能对授权给自己的数据库执行查询、插入、更新、删除操作，就可以防止不同用户对非授权的数据库进行访问。
4. 结束语
SQL注入漏洞攻击在网上非常普遍，许多ASP、PHP论坛和文章管理系统、下载系统以及新闻系统都存在这个漏洞。造成SQL注入漏洞攻击的主要原因是开发人员在系统开发的过程中编程不规范，没有形成良好的编程习惯，问题的解决只有依赖于规范编程。此外，也可以使用现有的SQL注入漏洞扫描器对整个网站中的关键代码进行扫描，查找网站页面中存在的SQL注入点。对于有问题的页面，可以及时删除或更新。本文通过对SQL注入漏洞攻击的方法、原理以及攻击实施过程进行了阐述和总结，并给出了一些常见的SQL注入漏洞攻击防范的方法。
❹ 数据库系统优化的人工智能自动SQL优化
人工智能自动SQL优化出现在90年代末。目前在商用数据库领域，LECCO Technology Limited(灵高科研有限公司)拥有该技术，并提供使用该技术的自动优化产品LECCO SQL Expert，它支持Oracle、Sybase、MS SQL Server和IBM DB2数据库平台。该产品针对数据库应用的开发和维护阶段提供的模块有：SQL语法优化器、PL/SQL集成化开发调试环境(IDE)、扫描器、数据库监视器等。其核心模块SQL 语法优化器的工作原理为：①输入一条源SQL语句；②“人工智能反馈式搜索引擎”对输入的SQL语句，结合检测到的数据库结构和索引进行重写，产生N条等效的SQL语句输出；③产生的N条等效SQL语句再送入“人工智能反馈式搜索引擎”进行重写，直至无法产生新的输出或搜索限额满；④对输出的SQL语句进行过滤，选出具有不同执行计划的SQL语句；⑤对得到的SQL语句进行批量测试，找出性能最好的SQL语句。
❺ 软件开发数据库如何进行测试
比如：数据冗余，功能和性能方面存在的问题已经严重影响应用软件的使用。软件测试人员往往重视对软件功能和编码的测试，而忽略对软件性能，特别是数据库访问并发测试。因为，他们固有的思想中认为数据库设计存在问题对系统性能影响不大，或从根本上忽略了数据库在软件开发中的地位，直到出现了问题，才想到对数据库的测试，但往往也是仅仅通过对编码的测试工作中捎带对数据库进行一定的测试，这远远是不够的。目前，中铁网上订票系统在大用户同时在线订票中系统频频瘫痪，就是最好的佐证。 所以，在应用软件的测试工作中，应该将数据库作为一个独立的部分进行充分的测试，这样才可以得到应用软件所需要的性能优化的数据库。那么，应该对哪些内容进行测试，如何进行测试呢？ 2、数据库设计的测试 数据库是应用的基础，其性能直接影响应用软件的性能。为了使数据库具有较好的性能，需要对数据库中的表进行规范化设计。规范化的范式可分为第一范式、第二范式、第三范式、BCNF范式、第四范式和第五范式。一般来说，逻辑数据库设计应满足第三范式的要求，这是因为满足第三范式的表结构容易维护，且基本满足实际应用的要求。因此，实际应用中一般都按照第三范式的标准进行规范化。但是，规范化也有缺点：由于将一个表拆分成为多个表，在查询时需要多表连接，降低了查询速度。故数据库设计的测试包括前期需求分析产生数据库逻辑模型和后期业务系统开发中的测试两部分（这里指的是后者），我在这里称为实体测试。 数据库是由若干的实体组成的，包括（表，视图，存储过程等），数据库最基本的测试就是实体测试，通过对这些实体的测试，可以发现数据库实体设计得是否充分，是否有遗漏，每个实体的内容是否全面，扩展性如何。 实体测试，可以用来发现应用软件在功能上存在的不足，也可以发现数据冗余的问题。经过测试，测试人员对有异议的问题要及时和数据库的设计人员进行沟通解决。 3、数据一致性测试 在进行实体测试后，应进一步检查下面的内容以保障数据的一致性： 3.1 表的主键测试根据应用系统的实际需求，对每个表的主键进行测试，验证是否存在记录不唯一的情况，如果有，则要重新设置主键，使表中记录唯一。 3.2 表之间主外键关系的测试数据库中主外键字段在名称，数据类型，字段长度上的一致性测试。 3.3 级联表，删除主表数据后，相应从报表数据应同时删除的问题例如学生表和学生成绩表，学生数据已经删除，成绩表中相应学生的成绩记录应同时删除。 3.4 存储过程和触发器的测试存储过程可以人工执行，但触发器不能人工处理，所以在对存储过程和触发器执行的过程中针对SQL SERVER2005及以上版本可以使用Microsoft SQL Server Profiler性能测试工具进行测试。 Microsoft SQL Server Profiler 是 SQL 跟踪的图形用户界面，用于监视数据库引擎或 Analysis Services 的实例。测试人员可以捕获有关每个事件的数据并将其保存到文件或表中供以后分析。例如：可以对生产环境进行监视，了解哪些存储过程由于执行速度太慢影响了性能。 4、数据库的容量测试 随着数据库系统的使用，数据量在飞速增长，如何在使用前对数据容量的增长情况进行初步估算，为最终用户提供参考，这在数据库使用和维护过程中，是非常重要的。可以通过对数据库设计中基本表的数据大小，和每天数据表的数据产生量进行初步估算。 记录数据量=各个字段所占字节数的总和表的数据量=记录数据量*记录数数据库大小=各表数据量的总和 当然，数据库的大小不仅仅只是基本表的大小，还有系统表，视图，存储过程等其它实体所占的容量，但最基本的数据是表的数据。另外，数据库的容量还包括数据库日志文件的容量，一般应预留数据库文件的2倍左右。 5、数据库的性能测试 应用软件除了功能外，很重要的一部分就是软件的性能，而对于数据库系统，数据库性能的好坏会直接影响应用软件的性能，这部分的测试，一般手工测试就显得无能为力了，这时就要借助自动化的测试软件，例如：DataFactory，DataFactory是一种强大的数据产生器，它允许开发人员和测试人员很容易产生百万行有意义的正确的测试数据库，该工具支持DB2、Oracle、Sybase、SQL Server数据库。这样，就可以模拟出应用软件长期使用后，海量数据存储的数据库的性能状况。从而尽早发现问题，进行数据库性能的优化。 这里要注意，进行性能测试的时候，一定要注意测试环境的一致性，包括：操作系统、应用软件的版本以及硬件的配置等，而且在进行数据库方面的测试的时候一定要注意数据库的记录数、配置等要一致，只有在相同条件下进行测试，才可以对结果进行比较。否则无法和用户对软件的性能的观点达成一致。 6、数据库的压力测试 说起测试，我们首先想到的就是软件正确性的测试，即常说的功能测试。软件功能正确仅是软件质量合格指标之一。在实际开发中，还有其它的非功能因素也起着决定性的因素，例如软件的响应速度。影响软件响应速度的因素有很多，有些是因为算法不够高效；还有些可能受用户并发数的影响。 在众多类型的软件测试中，压力测试正是以软件响应速度为测试目标，尤其是针对在较短时间内大量并发用户的访问时，软件的抗压能力。但压力测试往往是手工难以测试的，必须借助自动化测试工具。常用的压力测试有：Web测试、数据库测试等。 数据库在大多数软件项目中是不可缺少的，对于它进行压力测试是为了找出数据库对象是否可以有效地承受来自多个用户的并发访问。这些对象主要是：索引、触发器、存储过程和锁。通过对SQL语句和存储过程的测试，自动化的压力测试工具可以间接的反应数据库对象是否需要优化。 这些自动化的测试工具很多，各有特点，基于Java的项目可以使用JMeter，.Net项目可以采用.Net集成开发环境中提供的测试方案。 7、结束语 总之，在应用系统的测试中，把数据库应当作为独立的系统来测试，这无疑会为应用软件的质量增加可靠的保障，同时还必须结合应用软件进行集成测试，只有二者有机结合起来，才能最大限度的发挥数据库和应用软件的功能。