Datenbanken und Internet. SS2009 DBIS/Dr. Karsten Tolle

Transkript

1 Datenbanken und Internet

2 3-Tier-Modell Applet, Java GUI, Client z.b. HTTP, RMI Servlet, Java Anwendung, Application Server Interface DBS DB-Server Drei-Schichten-Architektur (Three-Tier-Modell)

3 Struktur bei B2B Einsatzweise als Backend

4 Wichtige DBMS Oracle IBM DB2 SQL Server MySQL PostgreSQL Caché Frima Umsatz 2007 Marktanteil 2007 Oracle IBM Microsoft 8,343 Mrd. Dollar 4,879 Mrd. Dollar 4,670 Mrd. Dollar 37,6% 22,0% 21,0% Laut Computerwoche Nr. 3 vom 16. Januar 2009

5 DBS Sprachen Das DBS stellt als Schnittstelle eine Datenbanksprache(n) für die folgenden Zwecke zur Verfügung: Datenabfrage und -manipulation Data Manipulation Language (DML) Verwaltung der Datenbank Data Definition Language (DDL) Berechtigungssteuerung Data Control Language (DCL) z.b. SQL

6 Structured Query Language SQL ist für Standards: SQL-1 von 1986 bzw (ca. 120 Seiten) SQL-2 (SQL92) von 1992 (ca. 580 Seiten) SQL-3 (SQL99) von 2000 (ca Seiten) SQL ISO/IEC 9075:2003 SQL: ISO/IEC :2006 (SQL/XML)

7 Standard und Realität Standards werden von DBMS Produzenten interpretiert und nicht immer vollständig umgesetzt: Unterschiede in der Syntax Unterschiede in der Funktionalität Was folgt hieraus???

8 Weitere DBMS Unterschiede DBMS unterscheiden sich durch intern realisierte Strategien, z.b. Optimierungsstrategie: IBM DB2 Kostenbasiert Oracle Regelbasiert Unter Oracle kann man Hints in SQL- Anweisungen einfügen, z.b.:

9 Weitere DBMS Unterschiede Tabelle mytable mit Attributen: a, b und c Einträge Index auf Attribut a Anfrage: SELECT a,b,c FROM mytable WHERE a > 19850

10 Weitere DBMS Unterschiede In einem Beispiel waren ca. 50% der Einträge unter Attribut a mit dem Wert belegt. Nutzung des Index nicht sinnvoll! Ausführungszeit lag bei 10 Minuten! In Oracle können Hints in SQL Anfragen eingebaut werden: SELECT /*+ full(mytable)*/ a, b, c FROM mytable WHERE a > Ausführungszeit ~15sec

11 embedded SQL Embedded SQL (abgekürzt: ESQL) ist eine Spracherweiterung von SQL, mit der es möglich ist, SQL-Anweisungen innerhalb einer strukturierten oder objektorientierten Programmiersprache (der Hostsprache) auszuführen. Embedded SQL wurde erstmals im SQL92- Standard definiert.

12 Embedded SQL und C - Beispiel EXEC SQL BEGIN DECLARE SECTION; char diebar[21], dasbier[21]; float preis; EXEC SQL END DECLARE SECTION; /* holen der Werte für diebar und dasbier */ EXEC SQL SELECT price INTO :preis FROM Verkauft WHERE bar = :diebar AND bier = :dasbier; /* die Variable preis kann nun verwendet werden*/

13 Quelltext mit SQL-Befehlen SQL LIB STD LIB Quelltext in reiner host language Objektdatei Ausführbares Programm Precompiler Compiler Linker

14 Definition Das Call Level Interface (kurz CLI) ist eine Datenbankschnittstellen-Spezifikation für den Zugriff auf RDBMS (baut auf SQL auf) aus anderen Anwendungen heraus. Weitere Details unter: PDF des Technical Standards von 1995! ~320 Seiten

15 Anwendung 1 Elementare Zugriffsoperationen Anwendung 2 Elementare Zugriffsoperationen Anwendung 3 Elementare Zugriffsoperationen Anwendung 1 Zugriffsoperation en in Progr.- Sprache enthalten Anwendung 2 Zugriffsoperation en in Progr.- Sprache enthalten Call Level Interface Anwendung 3 Zugriffsoperation en in Progr.- Sprache enthalten Datenbank- Managementsystem (DBMS) DBS Datenbank- Managementsystem (DBMS) DBS Datenbank (DB) Datenbank (DB)

16 Programmierschnittstellen, die das CLI- Konzept umsetzen (CLI-Implementierungen), sind z.b.: Open Database Connectivity (ODBC), Java Database Connectivity (JDBC).

17 Praxis 1. JDBC Treiber für DBMS in Classpath aufnehmen, Beispiel: set JDBC_Driver="C:\MySQL\mysql-connector-java bin.jar" java classpath %JDBC_Driver% MyAnwendung 2. Treiber im Program laden und aktivieren, Beispiel: try { Class.forName(jdbcdriver); } catch (Exception e) {} 3. Verbindung herstellen, Beispiel: try { Connection con = DriverManager.getConnection(dburl, username, passwd); } catch (Exception e) {}

18 Praxis 1. SQL Statement (Objekt) erzeugen Statement stmt = con.createstatement(); 2. SQL Anfrage erzeugen und an DBS schicken: ResultSet rs = stmt.executequery( select * from mytable ); 3. Mit dem Ergebnis arbeiten: while (rs.next()) { String name = rs.getstring( Name ); System.out.println( Name = +name); }

19 SQL-Injection SQL-Injection Einschleusen von zusätzlichem Code oder SQL-Befehlen Siehe Wikipedia für weitere Infos, Bsp. und Gegenmaßnahmen: Generell ist eine Webanwendung für die korrekte Prüfung der Eingabedaten verantwortlich. Geeignete Schutzmaßnahmen sind in erster Linie dort zu implementieren.

20 Mögliche Gefahren Zusätzliche Statements einzufügen: Eingabe: 1; drop mytable # Je nach DBMS kann das Kommentarzeichen (hier # ) anders sein. In DB2 z.b. --. select * from mytable where id = 1; drop mytable #?? Direkter Schaden an der Datenbank, eventuell Ausfall der Applikation.

21 Mögliche Gefahren Zusätzliche Bedingungen einzufügen: Eingabe: 1 or id > 1 or name like % select * from mytable where id = 1 or 1 or name like %?? Daten der Tabelle können ausgespäht werden.

22 Mögliche Gefahren Verknüpfung mit UNION: Eingabe: 1 union select * from yourtable where id = 1# select * from mytable where id = 1 union select * from yourtable where id = 1#?? Daten auch anderer Tabellen können ausgespäht werden. man beachte, dass beim UNION-Operator die Anzahl der Spalten und deren Typen gleich sein muss!

23 Was möglich ist hängt ab von DBMS Erlaubt es mehrere SQL-Statements gleichzeitig auszuführen? Welche Zeichen werden als Kommentare interpretiert? (z.b.: -- oder #) Verbindungsart / Programmiersprache JDBC, ODBC,???

24 Gegenmaßnahmen DB-Verbindung nur mit den Rechten, die nötig sind aufbauen! Nutzung von Prepared Statements (in Java) Nutzung von Statischem SQL, z.b. SQLJ Möglichst wenig Informationen über die Datenbank nach außen geben! z.b. bei Fehlermeldungen Eingaben auf Sonderzeichen und ungültige Werte prüfen (möglichst zurückweisen!) Anwendung diesbezüglich testen (testen lassen)

25 Literaturhinweise Handling Java Web Application Input, Part 1 von Stephen Enright Advanced SQL Injection In SQL Server Applications von Chris Anley

26 Prepared Statements PreparedStatement stmt = null; stmt = con.preparestatement( select * from mytable where ID =? ); stmt.setint(1,4); ResultSet rs = stmt.executequery(); 1 erstes Fragezeichen wir mit Wert 4 gesetzt!

27 Stored Procedures SQL Statements werden auf der Serverseite gehalten Verbunden mit PL Schleifen etc. vorhanden Wann insb. ist dies von Vorteil?

28 Speicherung von XML XML-Datenbank Tamino, exist, Relationale Datenbank Wie? Abbildungen von XML auf Datenbanken Textbasiert Strukturbasiert Modellbasiert

29 Textbasiert Speicherung des Dokumentes als Einheit z.b. in einem CLOB. Unterstützung des Zugriffs durch Verwendung von Indizes Volltextindex Strukturindex

30 Strukturbasiert Abbildung auf mehrere Tabellen, die das Objektmodell wiederspiegeln. <?xml version="1.0"?> <contact> <address type="business"> <name>tolle</name> <firstname>karsten</firstname> <street>robert-mayer-str.</street> <town>frankfurt</town> </address> </contact> Address Name Firstname Street Town Type Tolle Karsten Robert-Mayer-Str. Frankfurt business

31 Strukturbasiert Abbildung kann automatisch oder manuell erfolgen DTD, XML Schema sollte vorhanden sein Beziehungen in der Baumhierarchie über Foreign Keys Reihenfolge der Elemente kann verloren gehen Verlust von PI (Processing Instructions) und Kommentaren

32 Modellbasiert Abbildung der Graphstruktur! (DOM) Reihenfolge der Elemente bleibt erhalten Kommentare und PI gehen verloren

33 Übersicht: Abbildungen Abbildungen von XML auf Datenbanken Textbasiert Strukturbasiert Modellbasiert

34 Baum in RDBMS? Jerry (1000) Bert (900) Chuck (950) Donna (700) Eddie (750) Fred (600)

35 z.b. Adjazenz Matrix als Tabelle Name Boss Gehalt Jerry NULL 1000 Bert Jerry 900 Chuck Jerry 950 Donna Chuck 700 Eddie Chuck 750 Fred Chuck 600

36 Adjazenz Matrix als Tabelle Jerry (1000) Bert (900) Chuck (950) Donna (700) Eddie (750) Fred (600) Anomalien möglich! Personal Name Boss Gehalt Jerry NULL 1000 Bert Jerry 900 Chuck Jerry 950 Donna Chuck 700 Eddie Chuck 750 Fred Chuck 600

37 Adjazenz Matrix als Tabelle Jerry (1000) Bert (900) Chuck (950) Donna (700) Eddie (750) Fred (600) Anfrage nach Namen des Boss? Personal ID Name Boss Gehalt 1 Jerry NULL Bert Chuck Donna Eddie Fred 3 600

38 Anfrage: Wer ist Boss? SELECT B1.Name, Boss von, E1.Name FROM Personal AS B1, Personal AS E1 WHERE B1.ID = E1.Boss Personal ID Name Boss Gehalt 1 Jerry NULL Bert Chuck Donna Eddie Fred 3 600

39 Anfrage: Wer ist Boss von Boss? SELECT B1.Name, Ober-Boss von, E2.Name FROM Personal AS B1, Personal AS E1, Personal AS E2 WHERE B1.ID = E1.Boss AND E1.ID = E2.Boss Ober- -Ober-Boss??? ancestor??? Personal ID Name Boss Gehalt 1 Jerry NULL Bert Chuck Donna Eddie Fred 3 600

40 Hilfe! 1 Jerry (1000) 12 Bert (900) Chuck (950) Donna (700) Eddie (750) Fred (600) Vergleiche: Traversierungs-Algorithmen für Bäume Inorder-, Preorder- und Postorder

41 als Tabelle 1 Jerry (1000) 12 Bert (900) Chuck (950) Donna (700) Eddie (750) Fred (600) Personal ID Name left right Gehalt 1 Jerry Bert Chuck Donna Eddie Fred

42 Anfragen Wer hat gar nix zu sagen? (Blätter) Wer ist der oberste Boss? (Wurzel) Alle Unterstellten von X? (Nachfahren) Alle Chefs von Y? (Vorfahren) Jerry (1000) 1 12 Bert (900) Chuck (950) Donna (700) Eddie (750) Fred (600)

43 Bäume in RDBMS Literatur: A Look at SQL Trees by Joe Celko, online under: Managing Hierarchical Data in MySQL by Mike Hillyer: Enthalten beide: Nested-Set Model of Trees

44 SQL 2003 Part 14: XML-Related Specifications (SQL/XML) This part of ISO/IEC 9075 defines ways in which Database Language SQL can be used in conjunction with XML. (Zitat aus der Einführung der Spezifikation) ~ 360 Seiten (Part 14) Spezifikation kostet Geld (nur Part 14) ~190 Euro als PDF Final Committee Draft Version online unter:

45 SQL/XML Mapping - XML-to-SQL Mapping Unicode to SQL character sets. Mapping XML Names to SQL <identifier>s. Also: SQL/XML konzentriert sich auf das Erzeugen von XML-Daten aus relationalen Datenbanken. link

46 Praxisbeispiel DB2 von IBM Basierend auf der SAMPLE Datenbank von DB2 Express SELECT XMLELEMENT ( NAME "Test", XMLATTRIBUTES (12 AS "Default12"), XMLCONCAT ( XMLELEMENT (NAME "ZUSATZ", XMLFOREST (t.lastname AS "Nachname", t.empno AS "ID") ), XMLELEMENT (NAME "ZUSATZ", XMLFOREST (t.firstnme AS "Vorname", t.empno AS "ID") ) ) ) from KARSTEN.EMPLOYEE AS t;

47 SQL/XML Funktionen Reservierte Schlüsselwörter: XML XMLAGG XMLATTRIBUTES XMLBINARY XMLCONCAT XMLCOMMENT XMLELEMENT XMLFOREST XMLNAMESPACES XMLPARSE XMLPI XMLROOT XMLSERIALIZE Funktionen: XMLELEMENT Konstruktion eines XML- Elements XMLATTRIBUTES Erzeugung eines XML-Attributes

48 SQL/XML Funktionen XMLFOREST Erzeugung einer Menge von XML-Elementen (Wald) XMLAGG Zusammenfassen von Ergebnissen (Nutzung von Group-By, für 1-n Relationen) XMLCONCAT fügt mehrere XML-Werte zusammen XMLCOMMENT, XMLPI,

49 Praxisbeispiel DB2 von IBM Basierend auf der SAMPLE Datenbank von DB2 Express SELECT XMLELEMENT ( NAME "Test", XMLATTRIBUTES (12 AS "Default12"), XMLCONCAT ( XMLELEMENT (NAME "ZUSATZ", XMLFOREST (t.lastname AS "Nachname", t.empno AS "ID") ), XMLELEMENT (NAME "ZUSATZ", XMLFOREST (t.firstnme AS "Vorname", t.empno AS "ID") ) ) ) from KARSTEN.EMPLOYEE AS t;

50 Ergebnis Relatation mit einer Spalte, die XML-Dateien folgender Form enthält: <?xml version="1.0" encoding="utf-16"?> <Test Default12="12"> <ZUSATZ> <Nachname>PULASKI</Nachname> <ID>000070</ID> </ZUSATZ> <ZUSATZ> <Vorname>EVA</Vorname> <ID>000070</ID> </ZUSATZ> </Test>

51 SELECT XMLELEMENT ( NAME "Test2", XMLATTRIBUTES (12 AS "Default12"), XMLCONCAT ( XMLELEMENT (NAME "ZUSATZ", XMLFOREST (t.lastname AS "Nachname", t.empno AS "ID") ), XMLELEMENT (NAME "ZUSATZ", XMLFOREST (t.firstnme AS "Vorname", t.empno AS "ID") ), XMLELEMENT (NAME "DEPARTMENT", (SELECT DEPTNAME from KARSTEN.DEPARTMENT where DEPTNO = t.workdept)) ) ) from KARSTEN.EMPLOYEE AS t;

52 SELECT xmlagg(xmlelement(name "root", xmlforest(e.empno, e.firstnme) )) FROM KARSTEN.EMPLOYEE e; Keine Baumstruktur! SELECT xmlelement(name "root", xmlagg(xmlforest(e.empno, e.firstnme) )) FROM KARSTEN.EMPLOYEE e;

53 weitere Erweiterungen in SQL Neuer Datentype: XML (Oracle: XMLType) Beispiel: CREATE TABLE StudentXML ( name VARCHAR(35), vorname VARCHAR(30), matrikel INTEGER, details XML);

54 weitere Erweiterungen in SQL Strukturierte Typen und Vererbung CREATE TYPE Person AS (ID INTEGER, Name VARCHAR(30)) NOT FINAL; CREATE TYPE Student UNDER Person (Semester Integer); Hierarchische Tabellen CREATE TABLE Personen OF Person REF IS OID SYSTEM GENERATED; CREATE TABLE Studenten OF Student UNDER Personen REF IS OID SYSTEM GENERATED;

55 Leseempfehlungen SQL/XML Tutorial: SQL/XML, XQuery, and Native XML Programming Languages von Jonathan Robie XML programming with SQL/XML and XQuery von J. E. Funderburk, S. Malaika, B. Reinwald

56 Kosten für Ausfallzeiten (Downtimes) Schwer zu schätzen, beinhaltet Kosten für: nicht getätigte Geschäfte Wiederherstellungskosten Verlust von Kunden Loyalität Strafen Fehler im Lagerbestand Geschäftsfeld Aktienhandel Kreditkarten-Gesellschaften Geschätzte Kosten pro Stunde $6,45 Millionen $2,6 Millionen Home Shopping Channel $ Katalog Verkaufs Center $ Fluglinien Reservierung $ Versand Service $ Geldautomat Service $ Nach: Craig S. Mullins Database Administration The Complete Guide to Practices and Procedures 2002 Addison-Wesley ISBN Stand: 2002!!!!

57 Kosten für Ausfallzeiten (Downtimes) Ausfallzeiten pro Jahr Verfügbarkeit Minuten Stunden Kosten pro Jahr* 99,999% 5 0, $ 99,99% 53 0, $ 99,9% 526 8, $ 99,5% , $ 99% , $ * Bei Kosten für eine Stunde Ausfallzeit von $ Nach: Craig S. Mullins Database Administration The Complete Guide to Practices and Procedures 2002 Addison-Wesley ISBN Stand: 2002!!!!