数据库系统原理 · 数据库安全性与完整性 · 自学总结

本章核心：数据库里存着关键数据，怎么防止坏人偷/改/删？怎么防止脏数据混进来？怎么在应用层把安全防线筑牢？

一、数据库安全性

1.1 是什么？

数据库安全性 = 保护数据库，防止不合法的使用导致数据泄露、篡改或破坏。

它关注的是"谁能对数据做什么"——身份验证 + 权限控制 + 事后审计。

下辖知识点

DAC vs MAC 对比

安全等级模型（MAC 常用）

数据安全级别：绝密 > 机密 > 秘密 > 公开 用户安全许可：同上 ​ 访问规则（Bell-LaPadula 模型）： 1. 下读：用户只能读 ≤ 自己级别的数据（不能偷看上级文件） 2. 上写：用户只能写 ≥ 自己级别的数据（不能向下泄露机密）

1.2 为什么要有数据库安全性？

数据库是组织的核心资产，一旦失守后果严重：

核心价值：

1. 保密性（Confidentiality）—— 不该看的人看不到。

2. 完整性（Integrity）—— 不该改的人改不了。

3. 可用性（Availability）—— 合法用户随时能用。

4. 可追溯性（Accountability）—— 出事了能查到谁干的。

1.3 怎么用？

用户与权限管理

-- 创建登录账户和数据库用户 CREATE LOGIN 张三 WITH PASSWORD = 'StrongP@ssw0rd!'; CREATE USER 张三 FOR LOGIN 张三; ​ -- 授权：让张三能查学生表 GRANT SELECT ON 学生 TO 张三; ​ -- 授权：让张三能查和改成绩，但不能删 GRANT SELECT, UPDATE ON 选课 TO 张三; ​ -- 授权整表的所有权限 GRANT ALL PRIVILEGES ON 学生 TO 张三; ​ -- 允许张三把权限再授给别人（WITH GRANT OPTION） GRANT SELECT ON 学生 TO 张三 WITH GRANT OPTION; ​ -- 回收权限 REVOKE SELECT ON 学生 FROM 张三; REVOKE ALL ON 学生 FROM 张三; ​ -- 级联回收（CASCADE） REVOKE SELECT ON 学生 FROM 张三 CASCADE;

角色机制（推荐做法）

-- 创建角色 CREATE ROLE 教师角色; CREATE ROLE 学生角色; CREATE ROLE 管理员角色; ​ -- 给角色授权 GRANT SELECT, UPDATE ON 选课 TO 教师角色; GRANT SELECT ON 课程 TO 学生角色; GRANT ALL ON 学生 TO 管理员角色; ​ -- 把角色授予用户 ALTER ROLE 教师角色 ADD MEMBER 李老师; ALTER ROLE 学生角色 ADD MEMBER 张三; ALTER ROLE 学生角色 ADD MEMBER 李四; ​ -- 一个用户可以有多个角色 ALTER ROLE 教师角色 ADD MEMBER 系主任; -- 系主任同时也是教师

角色的好处：

• 权限集中管理，改角色 = 改一批用户。

• 新员工入职 → 赋予角色即可，不用一条条授权。

• 职责分离清晰，审计时知道"哪个角色做了什么"。

视图实现行级/列级安全

-- 学生只能看到自己的成绩（行级安全） CREATE VIEW 我的成绩 AS SELECT 课程号, 成绩 FROM 选课 WHERE 学号 = CURRENT_USER; GRANT SELECT ON 我的成绩 TO PUBLIC; ​ -- 隐藏敏感列（列级安全）：身份证号只让管理员看 CREATE VIEW 学生公开信息 AS SELECT 学号, 姓名, 性别, 年龄, 系号 FROM 学生; GRANT SELECT ON 学生公开信息 TO 教师角色; GRANT SELECT ON 学生 TO 管理员角色; -- 管理员看全表

审计

-- SQL Server 审计示例 CREATE SERVER AUDIT 安全审计 TO FILE (FILEPATH = 'D:\\Audit\\', MAXSIZE = 100 MB); ​ ALTER SERVER AUDIT 安全审计 WITH (STATE = ON); ​ CREATE DATABASE AUDIT SPECIFICATION 学生表审计 FOR SERVER AUDIT 安全审计 ADD (SELECT, INSERT, UPDATE, DELETE ON 学生 BY PUBLIC) WITH (STATE = ON); ​ -- 查看审计日志 SELECT * FROM sys.fn_get_audit_file('D:\\Audit\\*.sqlaudit', DEFAULT, DEFAULT);

数据加密

-- SQL Server 列级加密示例 CREATE SYMMETRIC KEY 我的密钥 WITH ALGORITHM = AES_256 ENCRYPTION BY PASSWORD = '加密密码'; ​ OPEN SYMMETRIC KEY 我的密钥 DECRYPTION BY PASSWORD = '加密密码'; ​ -- 加密插入 INSERT INTO 敏感表 (身份证号) VALUES (EncryptByKey(Key_GUID('我的密钥'), '123456789012345')); ​ -- 解密查询 SELECT 身份证号, CAST(DecryptByKey(身份证号) AS VARCHAR) AS 明文 FROM 敏感表;

二、数据库完整性

2.1 是什么？

数据库完整性 = 防止数据库中存在不符合语义的数据，保证数据的正确性和相容性。

如果说安全性是防"坏人"，那完整性就是防"坏数据"——无论是有意还是无意输入的。

下辖知识点

三类完整性对比

2.2 为什么要有数据库完整性？

没有完整性约束，数据库就是"垃圾进，垃圾出"：

核心价值：

1. 数据正确—— 入库前就拦住不合语义的数据。

2. 自动维护—— 不用靠程序层层校验，数据库底层直接把关。

3. 统一标准—— 无论哪个应用连数据库，规则都一样。

2.3 怎么用？

实体完整性

-- 主码约束：唯一 + 非空 CREATE TABLE 学生 ( 学号 CHAR(10) PRIMARY KEY, -- 自动隐含 NOT NULL + UNIQUE 姓名 VARCHAR(20) NOT NULL ); ​ -- 联合主码 CREATE TABLE 选课 ( 学号 CHAR(10), 课程号 CHAR(10), 成绩 INT, PRIMARY KEY (学号, 课程号) -- 两个合起来才是主码 );

参照完整性

-- 外码约束 + 级联操作 CREATE TABLE 选课 ( 学号 CHAR(10), 课程号 CHAR(10), 成绩 INT, PRIMARY KEY (学号, 课程号), FOREIGN KEY (学号) REFERENCES 学生(学号) ON DELETE CASCADE -- 学生删除，选课记录自动删除 ON UPDATE CASCADE, -- 学号改了，选课记录跟着改 FOREIGN KEY (课程号) REFERENCES 课程(课程号) ON DELETE RESTRICT -- 有学生选这门课时，不允许删除课程 ON UPDATE CASCADE ); ​ -- 级联操作选项对比： -- CASCADE：级联操作（跟着删/改） -- RESTRICT/NO ACTION：拒绝操作（如果会产生悬空引用） -- SET NULL：把外码设为 NULL（要求外码列允许 NULL） -- SET DEFAULT：设为默认值

用户定义完整性

CREATE TABLE 学生 ( 学号 CHAR(10) PRIMARY KEY, 姓名 VARCHAR(20) NOT NULL, 性别 CHAR(2) CHECK (性别 IN ('男', '女')), -- 枚举检查 年龄 INT CHECK (年龄 BETWEEN 15 AND 50), -- 范围检查 邮箱 VARCHAR(50) UNIQUE, -- 唯一检查 入学日期 DATE DEFAULT GETDATE(), -- 默认值 -- 元组级约束：同一行内的列间关系 CONSTRAINT CHK_日期 CHECK (出生日期 < 入学日期) ); -- 表级 CHECK（涉及聚合或子查询，部分 DBMS 支持有限） CREATE TABLE 班级 ( 班号 CHAR(10) PRIMARY KEY, 人数 INT CHECK (人数 > 0 AND 人数 <= 60) -- 一个班最多60人 );

触发器实现复杂完整性

-- 触发器：限制每门课的选课人数不超过100人 CREATE TRIGGER trg_选课人数限制 ON 选课 AFTER INSERT, UPDATE AS BEGIN IF EXISTS ( SELECT 课程号 FROM 选课 WHERE 课程号 IN (SELECT 课程号 FROM INSERTED) GROUP BY 课程号 HAVING COUNT(*) > 100 ) BEGIN RAISERROR('该课程选课人数已满', 16, 1); ROLLBACK; END; END; -- 触发器：防止删除系主任 CREATE TRIGGER trg_保护系主任 ON 教师 INSTEAD OF DELETE AS BEGIN IF EXISTS ( SELECT 1 FROM DELETED d JOIN 系 ON 系.系主任 = d.工号 ) BEGIN RAISERROR('不能删除在职系主任', 16, 1); RETURN; END; -- 否则正常删除 DELETE FROM 教师 WHERE 工号 IN (SELECT 工号 FROM DELETED); END;

域（DOMAIN）—— 自定义可复用的数据类型

-- 标准 SQL 语法（PostgreSQL 支持，MySQL/SQL Server 不完全支持） CREATE DOMAIN 分数类型 INT CHECK (VALUE BETWEEN 0 AND 100); CREATE DOMAIN 性别类型 CHAR(2) CHECK (VALUE IN ('男', '女')); -- 使用域 CREATE TABLE 选课 ( 学号 CHAR(10), 课程号 CHAR(10), 成绩 分数类型, -- 自动继承 0~100 检查 PRIMARY KEY (学号, 课程号) );

三、数据库应用与安全设计

3.1 是什么？

数据库应用与安全设计 = 在应用程序层面，结合数据库安全机制，构建完整的安全防线。

数据库自带的安全是一层，应用层的防护是另一层，两者配合才能真正安全。

下辖知识点

3.2 为什么要有应用层安全设计？

光靠数据库自带的安全不够：

核心价值：

1. 纵深防御—— 数据库和应用各守一道防线，攻破一层还有一层。

2. 用户体验—— 应用层可以友好提示，而不是直接暴露数据库错误。

3. 业务适配—— 数据库通用规则不够时，应用层可以实现更细粒度的控制。

3.3 怎么用？

1. 最小权限原则

❌ 错误做法： 应用连接数据库用 sa/root 账号，什么都能干 一旦应用被攻破，整个数据库裸奔 ✅ 正确做法： 创建专用账号，只授权必要的表和操作 订单系统账号：只能读写订单表、读商品表 报表系统账号：只能 SELECT，不能 INSERT/UPDATE/DELETE 管理员账号：全权限，但只有运维人员知道

-- 为应用创建最小权限账号 CREATE LOGIN 订单应用 WITH PASSWORD = 'AppP@ss1'; CREATE USER 订单应用; GRANT SELECT, INSERT, UPDATE ON 订单 TO 订单应用; GRANT SELECT ON 商品 TO 订单应用; GRANT SELECT, INSERT, UPDATE ON 订单明细 TO 订单应用; -- 不授权：用户表、财务表、配置表...

2. SQL 注入防护（重中之重）

❌ 错误做法（字符串拼接）： String sql = "SELECT * FROM 学生 WHERE 学号 = '" + userInput + "'"; -- 用户输入：' OR '1'='1 -- 实际执行：SELECT * FROM 学生 WHERE 学号 = '' OR '1'='1' -- 结果：全表数据被拖走 ✅ 正确做法（参数化查询，Java 示例）： String sql = "SELECT * FROM 学生 WHERE 学号 = ?"; PreparedStatement stmt = conn.prepareStatement(sql); stmt.setString(1, userInput); // 数据库会当字符串处理，不会解析为 SQL ResultSet rs = stmt.executeQuery();

-- 存储过程也能防注入（参数自动转义） CREATE PROCEDURE GetStudentById @学号 VARCHAR(20) AS BEGIN SELECT * FROM 学生 WHERE 学号 = @学号; -- 参数化，安全 END;

3. 敏感数据脱敏

-- 数据库层脱敏（视图） CREATE VIEW 学生脱敏 AS SELECT 学号, 姓名, LEFT(身份证号, 3) + '****' + RIGHT(身份证号, 4) AS 身份证号, LEFT(手机号, 3) + '****' + RIGHT(手机号, 4) AS 手机号, 系号 FROM 学生; -- 应用层脱敏（更灵活） -- 身份证号：110101199001011234 → 110****1234 -- 手机号：13812345678 → 138****5678 -- 银行卡：6222 0000 0000 1234 → 6222 **** **** 1234

4. 密码安全存储

❌ 绝对禁止： 明文存储密码 简单的 MD5 哈希（彩虹表秒破） ✅ 正确做法（加盐哈希）： 存储：password_hash = bcrypt(用户密码 + 随机盐) 验证：bcrypt(输入密码 + 存储的盐) == password_hash 即使两个用户密码相同，盐不同 → 哈希值不同 即使数据库泄露，没有盐也破解不了

5. 事务安全（关键操作）

// Java JDBC 事务示例 try { conn.setAutoCommit(false); // 开启事务 // 扣库存 pstmt1.setInt(1, quantity); pstmt1.setString(2, productId); pstmt1.executeUpdate(); // 生成订单 pstmt2.setString(1, orderId); pstmt2.executeUpdate(); // 扣款 pstmt3.setBigDecimal(1, amount); pstmt3.executeUpdate(); conn.commit(); // 全部成功，提交 } catch (Exception e) { conn.rollback(); // 任何一步出错，全部回滚 throw e; }

6. 并发安全（乐观锁示例）

-- 商品表加版本号字段 CREATE TABLE 商品 ( 商品号 CHAR(10) PRIMARY KEY, 库存 INT, 版本号 INT DEFAULT 1 ); -- 下单时更新（Java 示例） String sql = "UPDATE 商品 SET 库存 = 库存 - ?, 版本号 = 版本号 + 1 WHERE 商品号 = ? AND 版本号 = ?"; PreparedStatement stmt = conn.prepareStatement(sql); stmt.setInt(1, quantity); stmt.setString(2, productId); stmt.setInt(3, currentVersion); int affected = stmt.executeUpdate(); if (affected == 0) { // 版本号变了，说明被别人先改了 → 需要重试或提示 throw new ConcurrentModificationException("库存已变化，请刷新重试"); }

7. 审计日志设计

// 应用层审计日志 public void audit(String userId, String action, String target, String detail) { String sql = "INSERT INTO 审计日志 (用户ID, 操作, 对象, 详情, IP, 时间) VALUES (?, ?, ?, ?, ?, NOW())"; // 异步写入，不影响主流程性能 asyncLogExecutor.execute(() -> { jdbcTemplate.update(sql, userId, action, target, detail, getClientIP()); }); } // 使用 audit("user_001", "删除订单", "order_123", "删除原因：用户主动取消");

8. 备份与恢复策略

-- SQL Server 备份示例 BACKUP DATABASE 教学管理 TO DISK = 'D:\\Backup\\教学管理_全量.bak'; BACKUP LOG 教学管理 TO DISK = 'D:\\Backup\\教学管理_日志.trn'; -- 恢复示例 RESTORE DATABASE 教学管理 FROM DISK = 'D:\\Backup\\教学管理_全量.bak'; RESTORE LOG 教学管理 FROM DISK = 'D:\\Backup\\教学管理_日志.trn';

四、安全性 vs 完整性 对比

五、知识脉络图

数据库安全性与完整性 │ ├── 数据库安全性 │ ├── 是什么：防非法使用导致泄露/篡改/破坏 │ ├── 为什么：数据是核心资产，失守后果严重 │ └── 怎么用： │ ├── 身份鉴别：用户名+密码/双因素/证书 │ ├── 存取控制：DAC（GRANT/REVOKE）+ MAC（安全标签） │ ├── 角色机制：打包权限，批量管理 │ ├── 视图隔离：行列级数据隐藏 │ ├── 审计追踪：记录操作日志 │ └── 数据加密：传输加密 + 存储加密 │ ├── 数据库完整性 │ ├── 是什么：防不合语义的数据入库 │ ├── 为什么：垃圾进垃圾出，约束前置把关 │ └── 怎么用： │ ├── 实体完整性：PRIMARY KEY（唯一+非空） │ ├── 参照完整性：FOREIGN KEY + 级联操作 │ ├── 用户定义完整性：CHECK/NOT NULL/UNIQUE/DEFAULT │ ├── 触发器：CHECK 表达不了的复杂规则 │ └── 域（DOMAIN）：自定义复用数据类型 │ └── 数据库应用与安全设计 ├── 是什么：应用层配合数据库构建纵深防御 ├── 为什么：单靠数据库不够，应用层必须补位 └── 怎么用： ├── 最小权限：专用账号、最小授权 ├── SQL注入防护：参数化查询/存储过程/ORM ├── 敏感数据脱敏：展示时隐藏 ├── 密码安全：加盐哈希 ├── 事务安全：原子操作 ├── 并发安全：乐观锁/悲观锁 ├── 审计日志：关键操作留痕 └── 备份恢复：全量+增量+日志+异地+演练

六、一句话记忆

总结基于《数据库系统概论》数据库安全性与完整性相关章节知识体系整理