第第 55 章 数据库安全保护章 数据库安全保护本章要点 随着社会信息化的不断深化，各种数据库的使用也越来越广泛。例如，一个企业管理信息系统的全部数据、国家机构的事务管理信息、国防情报机密信息、基于 WEB 动态发布的网上购物信息等等，它们都集中或分布地存放在大大小小的数据库中。我们知道数据库系统中的数据是由 DBMS 统一进行管理和控制的。为了适应和满足数据共享的环境和要求， DBMS 要保证数据库及整个系统的正常运转，防止数据意外丢失和不一致数据的产生，以及当数据库遭受破坏后能迅速地恢复正常，这就是数据库的安全保护。

本章要点 DBMS 对数据库的安全保护功能是通过四方面来实现的，即安全性控制、完整性控制、并发性控制和数据库恢复。本章就将从这四方面来介绍数据库的安全保护功能，重点要求读者掌握它们的含义及实现这些安全保护功能的方法，可结合 SQL Server 2000 加深四部分内容的理解与操作技能。

5.1 5.1 数据库安全性数据库安全性5.1.1. 数据库安全性概述5.1.2. 安全性控制的一般方法5.1.3. 安全性控制的其它方法5.1.4. SQL Server 2000安全性概述

返回本章首页

5.1.1 5.1.1 数据库安全性概述数据库安全性概述 数据库的安全性是指保护数据库，以防止非法使用所造成数据的泄露、更改或破坏。 安全性问题有许多方面，其中包括： （ 1 ）法律、社会和伦理方面，例如请求查询信息的人是不有合法的权力； （ 2 ）物理控制方面，例如计算机机房或终端是否应该加锁或用其他方法加以保护； （ 3 ）政策方面，确定存取原则，允许哪些用户存取哪些数据； （ 4 ）运行与技术方面，使用口令时，如何使口令保持秘密；

BACK

（ 5 ）硬件控制方面， CPU 是否提供任何安全性方面的功能，诸如存储保护键或特权工作方式；（ 6 ）操作系统安全性方面，在主存储器和数据文件用过以后，操作系统是否把它们的内容清除掉；（ 7）数据库系统本身安全性方面。

BACK

5.1.2 5.1.2 安全性控制的一般方法安全性控制的一般方法 安全性控制是指要尽可能地杜绝所有可能的数据库非

法访问。 用户非法使用数据库可以有很多种情况。例如，编写合

法的程序绕过 DBMS授权机制，通过操作系统直接存取、修改或备份有关数据。用户访问非法数据，无论它们是有意的还是无意的 ,都应该加以严格控制，因此，系统还要考虑数据信息的流动问题并加以控制，否则有潜在的危险性。因为数据的流动可能使无权访问的用户获得访问权利。

BACK

例如，甲用户可以访问表T1 ，但无权访问表T2 ，如果乙用户把表T2 的所有记录添加到表T1 中之后，则由于乙用户的操作，使甲用户获得了对表T2 中记录的访问。此外，用户可以多次利用允许的访问结果，经过逻辑推理得到他无权访问的数据。 为防止这一点，访问的许可权还要结合过去访问的情况而定。可见安全性的实施是要花费一定代价，并需缜密考虑的。安全保护策略就是要以最小的代价来最大程度防止对数据的非法访问，通常需要层层设置安全措施。 实际上，数据库系统的安全性问题，类似于整个计算机系统一级级层层设置安全的情况，其安全控制模型一般如图 5.1 所示。

BACK

DBMS 用户 DB OS

用户标识和鉴定

用户存取权限控制

操作系统安全保护

密码存储

根据图 5.1 的安全模型，当用户进入计算机系统时，系统首先根据输入的用户标识进行身份的鉴定，只有合法的用户才准许进入系统。 对已进入系统的用户， DBMS还要进行存取控制，只允许用户进行合法的操作

BACK

DBMS 是建立在操作系统之上的，安全的操作系统是数据库安全的前提。操作系统应能保证数据库中的数据必须由 DBMS访问，而不允许用户越过 DBMS ，直接通过操作系统或其它方式访问。 数据最后可以通过密码的形式存储到数据库中。能做到非法者即使得到了加密数据，也无法识别它的安全效果。 下面，本书就数据库有关的用户标识和鉴定、存取控制、定义视图、数据加密和审计等几类安全性措施作一讨论。

BACK

1 、用户标识和鉴别 用户标识和鉴定是系统提供的最外层的安全保护措施，其方法是由系统提供一定的方式让用户标识自己的名字或身份，系统内部记录着所有合法用户的标识，每次用户要求进入系统时，由系统进行核实，通过鉴定后才提供机器的使用权。 用户标识和鉴定的方法有 : (1) 单用户名鉴别法 :用一个用户名或用户标识符来标 明用户的身份，系统以此来鉴别用户的合法性 .

BACK

(2)用户名与口令联合鉴别法 :用户标识符是用户公开的标识，它不足以成为鉴别用户身份的凭证。 (3) 透明公式鉴别法 : 每个用户都预先约定好一个过程或者函数，鉴别用户身份时，系统提供一个随机数，用户根据自己预先约定的计算过程或者函数进行计算，系统根据计算结果辨别用户身份的合法性。

BACK

2 、用户存取权限控制 用户存取权限指的是不同的用户对于不同的数据对象允许执行的操作权限。 存取权限由两个要素组成，数据对象和操作类型。定义一个用户的存取权限就是要定义这个用户可以在哪些数据对象上进行哪些类型的操作。 在数据库系统中，定义用户存取权限称为授权授权 . 授权有两种： (1)系统权限 :由 DBA授予某些数据库用户，只有得到系统权限，才能成为数据库用户 .

BACK

(2)对象权限 :可以由 DBA授予，也可以由数据对象的创建者授予，使数据库用户具有对某些数据对象进行某些操作的权限 . 这些授权定义经过编译后以一张授权表的形式存放在数据字典中。授权表主要有三个属性，用户标识、数据对象和操作类型。

BACK

3 、视图机制 为不同的用户定义不同的视图，可以限制各个用户的访问范围。通过视图机制把要保密的数据对无权存取这些数据的用户隐藏起来，从而自动地对数据提供一定程度的安全保护。 4 、数据加密 数据加密是防止数据库中数据在存储和传输中失密的有效手段 .加密的基本思想是根据一定的算法将原始数据加密成为不可直接识别的格式 ,数据以密码的形式存储和传输 .

BACK

加密方法有两种 : (1) 替换方法 :该方法使用密钥将明文中的每一个字符转换为密文中的一个字符 . (2)转换方法 :该方法将明文中的字符按不同的顺序重新排列 . 用密码存储数据，在存入时需加密，在查询时需解密 ,这个过程会占用较多的系统资源，降低了数据库的性能。 5 、审计 实际上任何系统的安全性措施都不是绝对可靠的，窃密者总有办法打破这些控制 . 审计功能是一种监视措施，跟踪记录有关数据的访问活动 .

BACK

5.1.3 5.1.3 安全性控制的其它方法安全性控制的其它方法 1 、强制存取控制（ MAC) 有些数据库系统的数据要求很高的保密性，通常具有静态的严格的分层结构，强制存取控制能实现这种高保密性要求 .这种方法的基本思想在于每个数据对象（文件、记录记录或宇段等 ) 赋予一定的密级，级别从高到低有：绝密级、机密级、秘密级和公用级 .每个用户也具有相应的级别，称为许可证级别 . 在系统运行时，采用如下两条简单规则： (1)用户 U只能查看比它级别低或同级的数据 . (2)用户 U只能修改和它同级的数据 . 强制存取控制是一种独立于值的控制方法 .它的优点是系统能执行“信息流控制” .

BACK

2 、统计数据库的安全性 查询仅仅是某些记录的统计值，例如求记录数、和、平均值等。在统计数据库中，虽然不允许用户查询单个记录的信息，但是用户可以通过处理足够多的汇总信息来分析出单个记录的信息 . 在统计数据库中，对查询应作下列限制： ①一个查询查到的记录个数至少是 n； ②两个查询查到的记录的“交”数目至多是m. 保证数据库安全性的另一个方法是“数据污染”，也就是在回答查询时，提供一些偏离正确值的数据，以免数据泄露 .

BACK

5.1.4 SQL Server 20005.1.4 SQL Server 2000 安全性概述安全性概述 SQL Server 2000 安全系统的构架建立在用户和用户组的基础上 .SQL Server 提供了 3 种安全管理模式，即标准模式、集成模式和混合模式，数据库设计者和数据库管理员可以根据实际情况进行选择 . 1 、两个安全性阶段 : 身份验证和授权 . 2 、用户权限 : 登录创建在 Windows中， 而非 SQL Server 中 .

BACK

当用户连接到 SQL Server 2000 实例后，他们可以执行的活动由授予以下帐户的权限确定： （ 1 ）用户的安全帐户； （ 2 ）用户的安全帐户所属Windows 组或角色层次结； （ 3 ）用户若要进行任何涉及更改数据库定义或访问数据的活动，则必须有相应的权限 .

BACK

3 、视图安全机制 SQL Server 2000 通过限制可由用户使用的数据，可以将视图作为安全机制。用户可以访问某些数据，进行查询和修改，但是表或数据库的其余部分是不可见的，也不能进行访问。 4 、加密方法 SQL Server 2000支持加密或可以加密的内容为： ①SQL Server 中存储的登录和应用程序角色密码； ②作为网络数据包而在客户端和服务器端之间发送的数据； ③SQL Server 2000 中如下对象的定义内容：存储过程、用户定义函数、视图、触发器、默认值、规则等。

BACK

5 、审核活动 SQL Server 2000 提供审核功能，用以跟踪和记录每个 SQL Server 实例上已发生的活动（如成功和失败的记录）。 SQL Server 2000 还提供管理审核记录的接口，即 SQL 事件探查器。只有 sysadmin 固定安全角色的成员才能启用或修改审核，而且审核的每次修改都是可审核的事件。

BACK

5.2 5.2 数据库完整性数据库完整性 5.2.1.数据库完整性概述5.2.2.完整性规则的组成5.2.3.完整性约束条件的分类5.2.4.SQL Server 2000完整性概述

返回本章首页

5.2.1 5.2.1 数据库完整性概述数据库完整性概述 数据库的完整性是指保护数据库中数据的正确性、有效性和相容性，防止错误的数据进入数据库造成无效操作。

显然，维护数据库的完整性非常重要，数据库中的数据是否具备完整性关系到数据能否真实地反映现实世界。

数据库的完整性和安全性是数据库保护的两个不同的方面 安全性是保护数据库，以防止非法使用所造成数据的泄露、

更改或破坏，安全性措施的防范对象是非法用户和非法操作；完整性是防止合法用户使用数据库时向数据库中加入不符合语义的数据，完整性措施的防范对象是不合语义的数据。

BACK

5.2.2 5.2.2 完整性规则的组成完整性规则的组成 完整性规则主要由以下三部分构成： （ 1 ）触发条件：规定系统什么时候使用规则检查数据； （ 2 ）约束条件：规定系统检查用户发出的操作请求违背了什么样的完整性约束条件； （ 3 ）违约响应：规定系统如果发现用户的操作请求违背了完整性约束条件，应该采取一定的动作来保证数据的完整性，即违约时要做的事情。 完整性规则从执行时间上可分为立即执行约束（ Immediate Constraints）和延迟执行约束（ Deferred Constraints）。 立即执行约束是指在执行用户事务过程中，某一条语句执行完成后，系统立即对此数据进行完整性约束条件检查；延迟执行约束是指在整个事务执行结束后，再对约束条件进行完整性检查，结果正确后才能提交。

BACK

一条完整性规则可以用一个五元组（ D ， O， A， C ，P ）来形式化地表示。其中： D （ data）：代表约束作用的数据对象； O（ operation）：代表触发完整性检查的数据库操作， 即当用户发出什么操作请求时需要检查该完整性规则； A（ assertion）：代表数据对象必须满足的语义约束，这 是规则的主体； C （ condition）：代表选择A作用的数据对象值的谓词； P （ procedure ）：代表违反完整性规则时触发执行的操作 过程。

BACK

例如，对于“学号不能为空”的这条完整性约束，D ：代表约束作用的数据对象为 SNO属性；O（ operation）：当用户插入或修改数据时需要检查该完整性规则；A（ assertion）： SNO不能为空；C （ condition）： A可作用于所有记录的 SNO属性；P （ procedure ）：拒绝执行用户请求。

BACK

5.2.3 5.2.3 完整性约束条件的分类完整性约束条件的分类 在数据库领域中，有四种最常用的数据模型，它们是：被称为非关系模型的层次模型、网状模型、关系模型和面向对象模型。本章简要介绍层次模型、网状模型、关系模型。 层次模型是数据库系统中最早出现的数据模型，它用树形结构表示各类实体以及实体间的联系。层次模型数据库系统的典型代表是 IBM公司的 IMS （ Information Management Systems）数据库管理系统，这是一个曾经广泛使用的数据库管理系统。现实世界中有一些的实体之间的联系本来就呈现出一种很自然的层次关系，如家庭关系，行政关系。

BACK

1 、值的约束和结构的约束 从约束条件使用的对象来分，可把约束分为值的约束和结构的约束。 值的约束：即对数据类型、数据格式、取值范围等进行规定。（ 1 ）对数据类型的约束，包括数据的类型、长度、单位和精度等。例如，规定学生性别的数据类型应为字符型，长度为 2 。（ 2 ）对数据格式的约束。例如，规定出生日期的数据格式为 YYYY.MM.DD 。（ 3 ）对取值范围的约束。例如，月份的取值范围为 1～12 ，日期 1～ 31 。

BACK

（ 4 ）对空值的约束。空值表示未定义或未知的值，它与零值和空格不同。有的列值允许空值，有的则不允许。例如，学号和课程号不可以为空值，但成绩可以为空值。 结构约束：即对数据之间联系的约束。 数据库中同一关系的不同属性之间，应满足一定的约束条件，同时，不同关系的属性之间也有联系，也应满足一定的约束条件。

BACK

常见的结构约束有如下四种：（ 1 ）函数依赖约束：说明了同一关系中不同属性之间应满足的约束条件。如： 2NF， 3NF， BCNF这些不同的范式应满足不同的约束条件。大部分函数依赖约束都是隐含在关系模式结构中的，特别是对于规范化程度较高的关系模式，都是由模式来保持函数依赖的。（ 2 ）实体完整性约束：说明了关系主键（或主码）的属性列必须唯一，其值不能为全空或部分为空。（ 3 ）参照完整性约束：说明了不同关系的属性之间的约束条件，即外部键（外码）的值应能够在被参照关系的主键值中找到或取空值。

BACK

（ 4 ）用户自定义完整性：从实际应用系统出发，按需定 义属性之间要满足的约束条件。（ 5 ）统计约束，规定某个属性值与关系多个元组的统计值之间必须满足某种约束条件。例如，规定系主任的奖金不得高于该系的平均奖金的 50%，不得低于该系的平均奖金的 15%。这里该系平均奖金的值就是一个统计计算值。 其中，实体完整性约束和参照完整性约束是关系模型的两个极其重要的约束，被称为关系的两个不变性。而统计约束实现起来开销很大。

BACK

2 、静态约束和动态约束完整性约束从约束对象的状态可分为静态约束和动态约束。 静态约束 静态约束是指在数据库每一个确定状态时的数据对象所应满足的约束条件，它是反映数据库状态合理性的约束，这是最重要的一类完整性约束。上面介绍的值的约束和结构的约束均属于静态约束。 动态约束 动态约束是指数据库从一种状态转变为另一种状态时（数据库数据变动前后），新、旧值之间所应满足的约束条件，它是反映数据库状态变迁的约束。 例如，学生年龄在更改时只能增长，职工工资在调整时不得低于其原来的工资。

BACK

5.2.4 SQL Server 20005.2.4 SQL Server 2000 完整性概述完整性概述 SQL Server 2000 中数据完整性可分为四种类型：实体完整性、域完整性、引用完整性、用户定义完整性。另外，触发器、存储过程等也能以一定方式控制数据完整性。 1 、实体完整性 实体完整性将行定义为特定表的唯一实体。 SQL Server 2000支持如下实体完整性相关的约束：(1) PRIMARY KEY约束：在一个表中不能有两行包含相同的主键值，不能在主键内的任何列中输入 NULL值。(2) UNIQUE 约束： UNIQUE 约束在列集内强制执行值的唯一性，对于 UNIQUE约束中的列，表中不允许有两行包含相同的非空值。

BACK

(3) IDENTITY属性： IDENTITY属性能自动产生唯一标识值，指定为 IDENTITY的列一般作为主键。2 、域完整性：是指给定列的输入正确性与有效性。 SQL Server 2000 中强制域有效性的方法有：限制类型，如通过数据类型、用户自定义数据类型等实现；格式限制，如通过 CHECK约束和规则等实现；列值的范围限定，如通过 PRIMARY KEY 约束、 UNIQUE 约束、 FOREIGN KEY 约束、 CHECK约束、 DEFAULT定义、 NOT NULL 定义等实现。

BACK

3 、引用完整性 (即参照完整性 ) SQL Server 2000引用完整性主要由 FOREIGN KEY约束体现，它标识表之间的关系 ,一个表的外键指向另一个表的候选键或唯一键。 强制引用完整性时， SQL Server禁止用户进行下列操作： (1) 当主表中没有关联的记录时，将记录添加到相关表中。 (2) 更改主表中的值并导致相关表中的记录孤立。

BACK

(3) 从主表中删除记录，但仍存在与该记录匹配的相关记录。 在 DELETE 或 UPDATE 所产生的所有级联引用操作的诸表中，每个表只能出现一次。多个级联操作中只要有一个表因完整性原因操作失败，整个操纵将失败而回滚。4 、用户定义完整性 SQL Server 2000 用户定义完整性主要由 Check约束所定义的列级或表级约束体现，用户定义完整性还能由规则、触发器、客户端或服务器端应用程序灵活定义。

BACK

5 、触发器 SQL Server2000触发器是一类特殊的存储过程，被定义为在对表或视图发出 UPDATE 、 INSERT 或 DELETE语句时自动执行。触发器可以扩展 SQL Server约束、默认值和规则的完整性检查逻辑，一个表可以有多个触发器。6 、其它机制 SQL Server2000支持存储过程中制定约束规则， SQL Server2000 的并发控制机制能保障多用户存取数据时的完整性。

BACK

触发器的创建与使用触发器的创建与使用CREATE TRIGGER 语句的语法格式如下：

CREATE TRIGGER 触发器名 ON 表名 |视图名 FOR INSERT , UPDATE , DELETEAS sql 语句

创建 UPDATE触发器 up_grade ，当 studentsdb 数据库的 grade表中课程编号列数据被修改时，显示提示信息“用户修改课程编号列”。CREATE up_gradeON gradeFORAS IF UPDATE( 课程编号 ) BEGIN PRINT ' 用户修改课程编号列 ' END

GO

UPDATE grade SET 课程编号 ='0005' WHERE 学号 ='0005'

TRIGGER

UPDATE

在触发器的执行过程中， SQL Server 建立和管理两个临时的虚拟表： Deleted 表和 Inserted 表。这两个表包含了在激发触发器的操作中插入或删除的所有记录。在执行 INSERT 或 UPDATE 语句之后所有被添加或被更新的记录都会存储在 Inserted 表中。在执行 DELETE 或 UPDATE 语句时，从触发程序表中被删除的行会发送到 Deleted 表。对于更新操作， SQL Server 先将要进行修改的记录存储到 Deleted 表中，然后再将修改后的数据复制到 Inserted 表以及触发程序表。

DeletedDeleted 表和表和 InsertedInserted 表表

建立 DELETE触发器 del_st_g ，当 studentsdb 数据库的 student_info表中的记录被删除时 ,grade表中的所有相应记录能自动删除。

CREATE TRIGGER del_st_gON student_infoFOR DELETEAS BEGIN DELETE FROM grade WHERE 学号 IN (SELECT 学号 from deleted) ENDGODELETE FROM student_info WHERE 学号 ='0005'

CREATE TRIGGER tr_up ON curriculumFOR UPDATEAS UPDATE grade SET 课程编号 = (SELECT 课程编号 FROM inserted) WHERE 课程编号 =(SELECT 课程编号 FROM deleted)GOUPDATE curriculum SET 课程编号 ='0012' WHERE 课程编号 ='0001'

在 curriculum表中建立 UPDATE触发器 tr_up ，如果更新 curriculum表中的课程编号，则相应更新 grade表的课程编号。进行UPDATE 操作，将 curriculum表中值为“ 0001” 的课程编号值修改为“ 0012” ，查看相应的 grade表的记录值是否改变。

存储过程的创建与使用存储过程的创建与使用CREATE PROCEDURE procedure_nameAS sql_statement [,...n]

【例】创建一存储过程，要求该存储过程返回学生姓名、所学课程和成绩。CREATE PROCEDURE spStuCouTea_nameAS SELECT 姓名 ,课名 ,成绩 FROM 学生 xs INNER JOIN 选课 xk ON xs.学号 = xk.学号 INNER JOIN 课程 kc ON xk.课号 = kc.课号如要执行该存储过程，可在查询分析器中执行如下语句： EXEC spStuCouTea_name

存储过程参数与状态值存储过程参数与状态值存储过程和调用者之间通过参数交换数据，可以按输入的参数执行，也可由参数输出执行结果。调用者通过存储过程返回的状态值对存储过程进行管理。1. 参数存储过程的参数在创建过程时声明。SQL Server支持两类参数：输入参数和输出参数。

(1)(1) 输入参数输入参数输入参数允许调用程序为存储过程传送数据值。要定义存储过程的输入参数，必须在 CREATE

PROCEDURE语句中声明一个或多个变量及类型。

【例】建立一个存储过程，根据所给学生的姓名查询该学生的信息。CREATE PROC xs_proc @xm varchar(8)AS SELECT * from student_info WHERE 姓名 = @xm

GO

EXEC xs_proc ‘李明 '

创建和执行带参数的存储过程 proc_list ，查询 studentsdb 数据库的 grade表中输入课程编号的成绩排名前 3位的学生的成绩信息。执行该存储过程，查询课程编号为’ 0001’ 的成绩排名前 3位学生。

CREATE PROCEDURE proc_list @kcbh char(4)AS SELECT TOP 3 学号 , 分数 FROM grade WHERE 课程编号 =@kcbh ORDER BY 分数 DESC

GO

EXEC proc_list '0001'

(2)(2) 输出参数输出参数输出参数允许存储过程将数据值或游标变量传回调用程序。 OUTPUT关键字用以指出能返回到调用它的批处理或过程中的参数。为了使用输出参数，在

CREATE PROCEDURE 和 EXECUTE语句中都必须使用 OUTPUT关键字。

【例】创建一个实现加法计算并将运算结果作为输出参数的存储过程。CREATE PROCEDURE spAdd@Value1 INT,@Value2 INT,@ResultValue INT OUTPUTASSELECT @ResultValue = @Value1 + @Value2

GO

DECLARE @result intEXEC spAdd 100,20,@result OUTPUTSELECT @result

创建和执行带输入和输出参数的存储过程 proc_avg ，查询 studentsdb 数据库的 grade表中输入课程编号的最高分、最低分、平均分。执行该存储过程，查询课程编号为‘ 0002’ 的学生的最高分、最低分和平均分。

CREATE PROC proc_avg@kcbh char(4),@max_fs float OUTPUT,@min_fs float OUTPUT,@avg_fs float OUTPUTAS SELECT @max_fs=MAX( 分数 ),@min_fs=MIN( 分数 ),@avg_fs=AVG( 分数 ) FROM grade WHERE 课程编号 =@kcbh

GO

DECLARE @max float,@min float,@avg floatEXEC proc_avg '0002',@max OUTPUT,@min OUTPUT,@avg OUTPUTSELECT @max AS 最高分 ,@min AS 最低分 ,@avg AS 平均分

5.3 5.3 数据库并发性数据库并发性 5.3.1 数据库并发性概述5.3.2 事务的基本概念5.3.3 并发操作与数据的不一致性5.3.4 封锁及其产生问题的解决5.3.5 SQL Server 2000的并发控制机制

返回本章首页

5.3.1 5.3.1 数据库并发性概述数据库并发性概述 每个用户在存取数据库中的数据时，可能是串行执行，即每个时刻只有一个用户程序运行，也可能是多个用户并行地存取数据库。 数据库的最大特点之一就是数据资源是共享的，串行执行意味着一个用户在运行程序时，其他用户程序必须等到这个用户程序结束才能对数据库进行存取，这样数据库系统的利用率会极低。 数据库的并发控制机制能解决这类问题，以保持数据库中数据在多用户并发操作时的一致性、正确性。

BACK

5.3.2 5.3.2 事务的基本概念事务的基本概念 1 、事务（ Transaction）的定义 事务是数据库系统中执行的一个工作单位，它是由用户定义的一组操作序列组成。 一个事务可以是一组 SQL语句、一条 SQL语句或整个程序，一个应用程序可以包括多个事务。事务的开始与结束可以由用户显式控制。如果用户没有显式地定义事务，则由 DBMS按照缺省规定自动划分事务。

BACK

在 SQL语言中，定义事务的语句有三条：(1)BEGIN TRANSACTION表示事务的开始；(2)COMMIT表示事务的提交，即将事务中所有对 数据库的更新写回到磁盘上的物理数据库中去，此时事务正常结束；(3)ROLLBACK表示事务的回滚，即在事务运行的过程中发生了某种故障，事务不能继续执行，系统将事务中对数据库的所有已完成的更新操作全部撤销，再回滚到事务开始时的状态。

BACK

启动事务语句的语法格式如下：BEGIN TRANSACTION ]

结束事务语句的语法格式如下：COMMIT [TRANSACTION]

事务回滚语句的语法格式如下：ROLLBACK TRANSACTION

以下代码定义一个事务 , 为 studentsdb 数据库的 curriculum表插入两条记录 ,然后提交该事务 .

-- 事务开始 INSERT curriculum(课程编号 ,课程名称 ,学分 ) VALUES(‘0008’,’体育’ ,6)

INSERT curriculum(课程编号 ,课程名称 ,学分 ) VALUES(‘0009’,’哲学’ ,2)

-- 提交事务

BEGIN TRAN

COMMIT TRAN

建立触发器 up_credit ，当用户试图修改 studentsdb 数据库的curriculum表的学分列时，禁止更新，并显示提示信息。

CREATE TRIGGER up_creditON curriculumFOR UPDATEASIF BEGIN RAISERROR('禁止用户修改学分列！ ',10,1) TRANSACTION END--执行以下 UPDATE 操作：GOBEGIN TRANSACTIONUPDATE curriculum SET 学分 =5 where 课程编号 ='0001‘COMMIT TRANSACTION

update(学分 )

rollback

2 、事务的特征 事务是由有限的数据库操作序列组成，但并不是任意的数据库操作序列都能成为事务，为了保护数据的完整性，一般要求事务具有以下四个特征： （ 1 ）原子性（ Atomic）：一个事务是一个不可分割的工作单位，事务在执行时，应该遵守“要么不做，要么全做”（ nothing or all）的原则，即不允许事务部分的完成。即使因为故障而使事务未能完成，它执行的部分操作要被取消。 （ 2 ）一致性（ Consistency）：事务对数据库的操作使数据库从一个一致状态转变到另一个一致状态。所谓数据库的一致状态是指事务操作后数据库中的数据要满足各种完整性约束要求。BACK

例如，银行企业中，“从帐号 A转移资金额M到帐号 B”是一个典型的事务，这个事务包括两个操作，从帐号 A中减去资金额M 和在帐号 B 中增加资金额M ，如果只执行其中一个操作，则数据库处于不一致状态，帐务会出现问题。也就是说，两个操作要么全做，要么全不做，否则就不能成为事务。可见事务的一致性与原子性是密切相关的。3 、隔离性（ Isolation）：如果多个事务并发地执行，应像各个事务独立执行一样，一个事务的执行不能被其他事务干扰。即一个事务内部的操作及使用的数据对并发的其他事务是隔离的。并发控制就是为了保证事务间的隔离性。

BACK

4 、持久性（ Durability）：指一个事务一旦提交，它对 数据库中数据的改变就应该是持久的，即使数据库因故障而受到破坏， DBMS 也应该能够恢复。 事务上述四个性质的英文术语的第一个字母分别为 A、C 、 I、 D 。因此，这四个性质也称为事务的 ACID准则。

BACK

BEGIN TRANSACTIONREAD AA←A-MIF A<0 /* A 款不足 */THENBEGINDISPLAY “A款不足”ROLLBACK

ENDELSE /* 拨款 */BEGINB←B+ MDISPLAY “拨款完成”COMMITEND

下面是一个事务的例子，从帐号 A转移资金额R到帐号 B ：

BACK

这是对一个简单事务的完整的描述。该事务有两个出口：当 A 帐号的款项不足时，事务以 ROLLBACK（撤销）命令结束，即撤销该事务的影响；另一个出口是以 COMMIT（提交）命令结束，完成从帐号 A到帐号 B 的拨款。在 COMMIT 之前，即在数据库修改过程中，数据可能是不一致的，事务本身也可能被撤销。只有在 COMMIT之后，事务对数据库所产生的变化才对其他事务开放，这就可以避免其他事务访问不一致或不存在的数据。

BACK

5.5.3.3 3.3 并发操作与数据的不一致性并发操作与数据的不一致性 当同一数据库系统中有多个事务并发运行时，如果不加以适当控制，可能产生数据的不一致性。 [例 1] 并发取款操作。假设存款余额R=1000元，甲事务 T1 取走存款 200元，乙事务 T2 取走存款 300元，如果正常操作，即甲事务 T1执行完毕再执行乙事务 T2 ，存款余额更新后应该是 500元。但是如果按照如下顺序操作，则会有不同的结果： 甲事务 T1 读取存款余额R =1000元； 乙事务 T2 读取存款余额R =1000元；

BACK

甲事务 T1 取走存款 200元，修改存款余额R =R－ 200=800 ，把 R =800写回到数据库； 乙事务 T2 取走存款 300元，修改存款余额R =R－ 300=700 ，把 R =700写回到数据库。 结果两个事务共取走存款 500元，而数据库中的存款却只少了 300元。得到这种错误的结果是由甲、乙两个事务并发操作引起的。

BACK

数据库的并发操作导致的数据库不一致性主要有以下三种： 1 、丢失更新（ Lost Update ） 当两个事务 T1 和 T2 读入同一数据做修改，并发执行时， T2把T1 或 T1把T2 的修改结果覆盖掉，造成了数据的丢失更新问题，导致数据的不一致。 仍以 [例 1]中的操作为例进行分析。在表 5.5 中，数据库中 R的初值是 1000 ，事务 T1 包含三个操作：读入 R初值（ FIND R）；计算（ R=R-200 ）；更新 R（ UPDATE R）。

BACK

'表 5.5 丢失更新问题

时间 事务 T1 R 的值 事务 T2

t0   1000  

t1 FIND R    

t2     FIND R

t3 R=R-200    

t4     R=R-300

t5 UPDATE R

   

t6   800 UPDATE R

t7   700  

事务 T2 也包含三个操作： FIND R；计算（ R=R-300 ）；UPDATE R。 如果事务 T1 和 T2顺序执行，则更新后， R的值是 500 。但如果T1 和 T2按照表 5.5 所示的并发执行， R的值是 700 ，得到错误的结果，原因在于在t7时刻丢失了 T1 对数据库的更新操作。因此，这个并发操作不正确。

BACK

2 、污读（ Dirty Read） 事务 T1 更新了数据 R，事务 T2 读取了更新后的数据 R，事务 T1 由于某种原因被撤消，修改无效，数据 R恢复原值。事务 T2得到的数据与数据库的内容不一致，这种情况称为“污读”（又名脏读）。

BACK

在表 5.6 中，事务 T1把R的值改为 900 ，但此时尚未做 COMMIT操作，事务 T2 将修改过的值 800 读出来，之后事务 T1执行 ROLLBACK操作，R的值恢复为 1000 ，而事务 T2 将仍在使用已被撤消了的 R值 800 。

时间 事务 T1 R 的值 事务 T2

t0   1000  

t1 FIND R    

t2 R=R-200    

t3 UPDATE R

   

t4   800 FIND R

t5 ROLLBACK

   

t6   1000  

表 5.6 污读问题

BACK

原因在于在 t4 时刻事务 T2 读取了 T1未提交的更新操作结果，这种值是不稳定的，在事务 T1 结束前随时可能执行 ROLLBACK操作。 对于这些未提交的随后又被撤消的更新数据称为“脏数据”。比如，这里事务 T2 在 t2 时刻读取的就是“脏数据”。 3 、不可重读（ Unrepeatable Read） 事务 T1 读取了数据 R，事务 T2 读取并更新了数据R，当事务 T1再读取数据 R以进行核对时，得到的两次读取值不一致，这种情况称为“不可重读”。

BACK

在表 5.7中，在 t0时刻事务 T1 读取 R的值为 1000 ，但事务 T2 在 t4 时刻将R的值更新为为 700 。所以 T1 在 t5 时刻所读取 R的值700已经与开始读取的值1000 不一致了。

时间 事务 T1

R 的值 事务 T2

t0   1000  

t1 FIND R

1000  

t2     FIND R

t3     R=R-300

t4   700 UPDATE R

t5 FIND R

700  

表 5.7 不可重读

BACK

产生上述三类数据不一致性的主要原因就是并发操作破坏了事务的隔离性。并发控制就是要求 DBMS 提供并发控制功能以正确的方式高度并发事务，避免并发事务之间的相互干扰造成数据的不一致性，保证数据库的完整性。

BACK

5.3.4 5.3.4 封锁及其产生问题的解决封锁及其产生问题的解决 实现并发控制的方法主要有两种：封锁（ Lock）技术和时标（ Timestamping）技术。这里只介绍封锁技术。 1 、封锁类型（ Lock Type ） 所谓封锁就是当一个事务在对某个数据对象（可以是数据项、记录、数据集、以至整个数据库）进行操作之前，必须获得相应的锁，以保证数据操作的正确性和一致性。 封锁是目前 DBMS普遍采用的并发控制方法，基本的封锁类型有两种：排它锁和共享锁。

BACK

(1) 排它锁（ Exclusive Lock） 排它锁又称写锁，简称为 X锁，其采用的原理是禁止并发操作。当事务 T对某个数据对象 R实现 X封锁后，其他事务要等 T解除 X封锁以后，才能对 R进行封锁。这就保证了其他事务在 T释放 R上的锁之前，不能再对 R进行操作。 (2)共享锁（ Share Lock） 共享锁又称读锁， , 简称为 S 锁，其采用的原理是允许其他用户对同一数据对象进行查询，但不能对该数据对象进行修改。当事务 T对某个数据对象 R实现 S封锁后，其他事务只能对 R加 S 锁，而不能加 X锁，直到T释放 R上的 S锁。这就保证了其他事务在 T释放 R上的 S 锁之前，只能读取 R，而不能再对 R作任何修改。

BACK

2 、封锁协议（ Lock Protocol） 封锁可以保证合理的进行并发控制，保证数据的一致性。 实际上，锁是一个控制块，其中包括被加锁记录的标识符及持有锁的事务的标识符等。在封锁时，要考虑一定的封锁规则，例如，何时开始封锁、封锁多长时间、何时释放等 ,这些封锁规则称为封锁协议。对封锁方式规定不同的规则，就形成了各种不同的封锁协议。 封锁协议在不同程序上对正确控制并发操作提供了一定的保证。

BACK

上面讲述过的并发操作所带来的丢失更新、污读和不可重读等数据不一致性问题，可以通过三级封锁协议在不同程度上给予解决，下面介绍三级封锁协议。 1 、一级封锁协议 一级封锁协议的内容是：事务 T在修改数据对象之前必须对其加 X锁，直到事务结束。 具体地说，就是任何企图更新记录 R的事务必须先执行“ XLOCK R”操作，以获得对该记录进行更新的能力并对它取得 X封锁。如果未获准“ X 封锁”，那么这个事务进入等待状态，一直到获准“ X封锁”，该事务才继续做下去。 该事务规定事务在更新记录 R时必须获得排它性封锁，使得两个同时要求更新 R的并行事务之一必须在一个事务更新操作执行完成之后才能获得 X封锁，这样就避免了两个事务读到同一个 R值而先后更新时所发生的丢失更新问题。

BACK

利用一级封锁协议可以解决表 5.5 中的数据丢失更新问题，如表 5.8所示。 事务 T1先对 R进行 X封锁（ XLOCK），事务 T2执行“ XLOCK R”操作，未获准“ X封锁”，则进入等待状态，直到事务 T1 更新 R值以后，解除 X封锁操作（ UNLOCK X）。此后事务 T2再执行“ XLOCK R”操作，获准“ X封锁”，并对 R值进行更新（此时 R已是事务 T1更新过的值， R=900 ）。 这样就能得出正确的结果。 一级封锁协议只有当修改数据时才进行加锁，如果只是读取数据并不加锁，所以它不能防止“污读”和“重读”数据。

BACK

表 5.8 无丢失更新问题时间 事务 T1 R 的值 事务 T2

t0 XLOCK R 1000  t1 FIND R    t2     XLOCK Rt3 R=R-200   WAITt4 UPDATE R   WAITt5 UNLOCK X 800 WAITt6     XLOCK Rt7     R=R-300t8     UPDATE R

t9   500 UNLOCK X

BACK

2 、二级封锁协议 二级封锁协议的内容是：在一级封锁协议的基础上，另外加上事务 T在读取数据 R之前必须先对其加 S 锁，读完后释放 S 锁。 所以二级封锁协议不但可以解决更新时所发生的数据丢失问题，还可以进一步防止“污读”。

BACK

利用二级封锁协议可以解决表 5.6 中的数据“污读”问题，如表 5.9所示。 表 5.9 无污读问题事务 T1先对 R进行 X封锁（ XLOCK），把 R的值改为 800 ，但尚未提交。这时事务 T2 请求对数据 R加 S 锁，因为 T1已对 R加了 X锁， T2只能等待，直到事务 T1释放 X锁。之后事务 T1因某种原因撤销，数据 R恢复原值 1000 ，并释放 R上的 X锁。事务 T2 可对数据 R加 S 锁，读取 R=1000 ，得到了正确的结果，从而避免了事务 T2 读取“脏数据”。

BACK

3 、三级封锁协议 三级封锁协议的内容是：在一级封锁协议的基础上，另外加上事务 T在读取数据 R之前必须先对其加 S 锁，读完后并不释放 S 锁，而直到事务 T结束才释放。 所以三级封锁协议除了可以防止更新丢失问题和“污读”数据外，还可进一步防止不可重读数据，彻底解决了并发操作所带来的三个不一致性问题。 利用三级封锁协议可以解决表 5.7中的不可重读问题。

BACK

3 、封锁粒度（ Lock Granularity） 封锁对象的大小称为封锁粒度。根据对数据的不同处理，封锁的对象可以是这样一些逻辑单元：字段、数据库等，也可以是这样一些物理单元：页（数据页或索引页）、块等。封锁粒度与系统的并发度和并发控制的开销密切相关。 封锁粒度越小，系统中能够被封锁的对象就越多，并发度越高，但封锁机构复杂，系统开销也就越大。封锁粒度越大，系统中能够被封锁的对象就越少，并发度越小，封锁机构简单，相应系统开销也就越小。 因此，在实际应用中，选择封锁粒度时应同时考虑封锁机制和并发度两个因素，对系统开销与并发度进行权衡，以求得最优的效果。

BACK

4 、死锁和活锁 封锁技术可有效解决并行操作引起的数据不一致性问题，但也可产生新的问题，即可能产生活锁和死锁问题。 1 、活锁（ Livelock） 当某个事务请求对某一数据的排它性封锁时，由于其他事务一直优先得到对该数据的封锁与操作而使这个事务一直处于等待状态，这种状态形成活锁。 例如，事务 T1 在对数据 R封锁后，事务 T2又请求封锁R，于是 T2 等待。 T3 也请求封锁 R。当 T1释放了 R上的封锁后，系统首先批准了 T3 的请求， T2继续等待。然后又有 T4 请求封锁 R， T3释放了 R上的封锁后，系统又批准了 T4 的请求… T2 可能永远处于等待状态，从而发生了活锁。如表 5.11 所示。

BACK

5.3.4 封锁及其产生问题的解决

时间 事务 T1 事务 T2 事务 T3 事务 T4

t0 LOCK R

     

t1 … LOCK R

   

t2 … WAIT LOCK R  

t3 UNLOCK

WAIT WAIT LOCK R

t4 … WAIT LOCK R WAIT

t5   WAIT   WAIT

t6   WAIT UNLOCK WAIT

t7   WAIT   LOCK R

t8   WAIT    

时间 事务 T1 事务 T2

t0 LOCK R1  

t1   LOCK R2

t2    

t3 LOCK R2  

t4 WAIT  

t5 WAIT LOCK R1

t6 WAIT WAIT

t7 WAIT WAIT

表 5.11 活锁 表 5.12 死锁

BACK

2 、死锁（ Deadlock） 在同时处于等待状态的两个或多个事务中，每个事务都在等待其中另一个事务解除封锁，它才能继续执行下去，结果造成任何一个事务都无法继续执行，这种状态称为死锁。 例如，事务 T1 在对数据 R1封锁后，又要求对数据 R2封锁，而事务 T2已获得对数据 R2 的封锁，又要求对数据 R1封锁，这样两个事务由于都不能得到全部所需封锁而处于等待状态，发生了死锁。如表 5.12 所示。

BACK

（ 1 ）死锁产生的条件发生死锁的必要条件有以下四条：①互斥条件：一个数据对象一次只能被一个事务所使用，即对数据的封锁采用排它式；②不可抢占条件：一个数据对象只能被占有它的事务所释放，而不能被别的事务强行抢占；③部分分配条件：一个事务已经封锁分给它的数据对象，但仍然要求封锁其他数据；④循环等待条件：允许等待其他事务释放数据对象，系统处于加锁请求相互等待的状态。

BACK

（ 2 ）死锁的预防死锁一旦发生，系统效率将会大大下降，因而要尽量避免死锁的发生。在操作系统的多道程序运行中，由于多个进程的并行执行需要分别占用不同资源时，也会发生死锁。要想预防死锁的产生，就得破坏形成死锁的条件。同操作系统预防死锁的方法类似，在数据库环境下，常用的方法有以下两种：①一次加锁法

BACK

加锁第 1个数据

加锁第 2个数据

加锁第 m个数据

加锁成功吗？

加锁成功吗？

加锁成功吗？

释放所有已加锁的数据

开始加锁

Y

Y

Y

N

N

N

一次加锁成功 图 5.2 一次加锁法

一次加锁法是每个事物必须将所有要使用的数据对象全部依次加锁，并要求加锁成功，只要一个加锁不成功，表示本次加锁失败，则应该立即释放所有已加锁成功的数据对象，然后重新开始从头加锁。一次加锁法的程序框图如图 5.2 。

BACK

一次加锁法虽然可以有效地预防死锁的发生，但也存在一些问题。 首先，对某一事务所要使用的全部数据一次性加锁，扩大了封锁的范围，从而降低了系统的并发度。 其次，数据库中的数据是不断变化的，原来不要求封锁的数据，在执行过程中可能会变成封锁对象，所以很难事先精确地确定每个事务所要封锁的数据对象，这样只能在开始扩大封锁范围，将可能要封锁的数据全部加锁，这就进一步降低了并发度，影响了系统的运行效率。

BACK

②顺序加锁法 顺序加锁法是预先对所有可加锁的数据对象规定一个加锁顺序，每个事务都需要按此顺序加锁，在释放时，按逆序进行。 顺序加锁法同一次加锁法一样，也存在一些问题。因为事务的封锁请求可以随着事务的执行而动态地决定，所以很难事先确定封锁对象，从而更难确定封锁顺序。即使确定了封锁顺序，随着数据操作的不断变化，维护这些数据的封锁顺序要需要很大的系统开销。

BACK

在数据库系统中，由于可加锁的目标集合不但很大，而且是动态变化的；可加锁的目标常常不是按名寻址，而是按内容寻址，预防死锁常要付出很高的代价，因而上述两种在操作系统中广泛使用的预防死锁的方法并不很适合数据库的特点。 在数据库系统中，还有一种解决死锁的办法，即可以允许发生死锁，但在死锁发生后可以由系统及时自动诊断并解除已发生的死锁，从而避免事务自身不可解决的资源争用问题。

BACK

（ 3 ）死锁的诊断与解除 数据库系统中诊断死锁的方法与操作系统类似。可以利用事务信赖图的形式来测试系统中是否存在死锁。 例如在图 5.3 中，事务 T1需要数据 R1 ，但 R1已经被事务 T2封锁，那么从 T1到T2划一个箭头。如果在事务依赖图中沿着箭头方向存在一个循环，那么死锁的条件就形成了，系统就会出现死锁。 图 5.3 事务依赖图

T1

数据 R1

T2

数据 R2

BACK

如果已经发现死锁， DBA从依赖相同资源的事务中抽出某个事务作为牺牲品，将它撤销，并释放此事务占用的所有数据资源，分配给其他事务，使其他事务得以继续运行下去，这样就有可能消除死锁。 在解除死锁的过程中，抽取牺牲事务的标准是根据系统状态及其应用的实际情况来确定的，通常采用的方法之一是选择一个处理死锁代价最小的事务，将其撤销；或从用户等级角度考虑，取消等级低的用户事务，释放其封锁的资源给其它需要的事务。

BACK

5.3.5 SQL Server 20005.3.5 SQL Server 2000 的并发控制机制的并发控制机制 SQL Server 2000 使用加锁技术确保事务完整性和数据库一致性。锁定可以防止用户读取正在由其他用户更改的数据，并可以防止多个用户同时更改相同数据。虽然 SQL Server 2000 自动强制锁定，但可以通过了解锁定并在应用程序中自定义锁定来设计更有效的并发控制应用程序。 SQL Server 2000 提供如下八种锁类型：共享 (S)、更新 (U)、排它 (X)、意向共享 (IS)、意向排它 (IX)、与意向排它共享 (SIX)、架构 (Sch)、大容量更新 (BU)，只有兼容的锁类型才可以放置在已锁定的资源上。

BACK

SQL Server 使用的主要锁类型描述如下：①共享 (S)：用于不更改或不更新数据的操作 ( 只读操作如 select 语句 )。资源上存在共享锁时，任何其它事务都不能修改数据；②更新 (U)：用于可更新的资源中。一次只有一个事务可以获得资源的更新锁。如果事务修改资源，则更新锁转换为排它 (X)锁。否则锁转换为共享锁。防止当多个会话在读取、锁定以及随后可能进行的资源更新时发生死锁；

BACK

③排它 (X)：用于数据修改操作例如 insert、 update 或delete 。加排它锁后其它事务不能读取或修改排它锁锁定的数据。确保不会同时对同一资源进行多重更新；④意向 (I)：用于建立锁的层次结构。 意向锁可以提高性能，因为 SQL Server仅在表级山穷检查意向锁来确定事务是否可以安全地获取该表上的锁，而无需检查表中的每行或每页上的锁以确定事务是否可以锁定整个表。 意向锁又细分为：意向共享 (IS)、意向排它 (IX)以及与意向排它共享 (SIX)。

BACK

在 transact-sql 语句使用中有如下缺省加锁规则： select查询缺省时请求获得共享锁 (页级或表级 )； insert 语句总是请求独占的页级锁； update 和 delete 查询通常获得某种类型的独占锁以进 行数据修改；如果当前将被修改的页上存在读锁，则 delete 或 update语句首先会得到修改锁，当读过程结束以后，修改锁自动改变为独占锁。

BACK

当需要对对象所获得锁类型进行更精细控制时，可以使用手工锁定提示， 如： holdlock、 nolock、 paglock、 readpast、rowlock、 tablock、 tablockx、 updlock、 xlock等，这些锁定提示取代了会话的当前事务隔离级别指定的锁。 例如查询时，可强制设定加独占锁，命令为： select sno from student with (tablockx) where dept= 'CS '

BACK

SQL Server 2000具有多粒度锁定能力，允许一个事务锁定不同类型的资源。 为了使锁定的成本减至最少， SQL Server 2000自动将资源锁定在适合任务的级别。锁定在较小的粒度 (例如行 )可以增加并发但需要较大的开销，因为如果锁定了许多行，则需要控制更多的锁。锁定在较大的粒度 (例如表 )就并发而言是相当昂贵的，因为锁定整个表限制了其它事务对表中任意部分进行访问，但要求的开销较低，因为需要维护的锁较少。

BACK

事务准备接受不一致数据的级别称为隔离级别。隔离级别是一个事务必须与其它事务进行隔离的程度。较低的隔离级别可以增加并发，但代价是降低数据的正确性。相反，较高的隔离级别可以确保数据的正确性，但可能对并发产生负面影响。应用程序要求的隔离级别确定了 SQL Server 2000 使用的锁定行为。

BACK

SQL-92 定义了下列四种隔离级别，如下由低到高的四种隔离级别： read uncommitted、 read committed、 repeatable read、 serializable ， 默认情况下， SQL Server 2000 在 read committed隔离级别上操作。但是应用程序可能必须运行于不同的隔离级别。若要在应用程序中使用更严格或较宽松的隔离级别，可以使用 Transact-SQL 或通过数据库API来设置事务隔离级别，来自定义整个会话的锁定。如：set transaction isolation level repeatable read -设置为可重复读BACK

隔离级别含义如下： ①read uncommitted：执行脏读或 0级隔离锁定，这表示事务中不发出共享锁，也不接受排它锁。当设置该选项时，可以对数据执行未提交读或脏读；在事务结束前可以更改数据内的数值，行也可以出现在数据集中或从数据集消失。该选项的作用与在事务内所有语句中的所有表上设置nolock相同。这是四个隔离级别中限制最小的级别。 ②read committed：指定在读取数据时控制共享锁以避免脏读，但数据可在事务结束前更改，从而产生不可重复读取或幻影数据。该选项是 SQL Server 的默认值。

BACK

③repeatable read：锁定查询中使用的所有数据以防止其他用户更新数据，但是其他用户可以将新的幻影行插入数据集，且幻影行包括在当前事务的后续读取中。 ④serializable ：在数据集上放置一个范围锁，以防止其他用户在事务完成之前更新数据集或将行插入数据集内。这是四个隔离级别中限制最大的级别。因为并发级别较低，所以应只在必要时才使用该选项。该选项的作用与在事务内所有 select 语句中的所有表上设置 holdlock相同。

BACK

下面是四种隔离级别允许的不同类型的行为表 5.14 。表 5.14 SQL Server 2000支持的四种隔离级别

隔离级别 脏读 不可重复读取 幻像未提交读 (read uncommitted) 是 是 是提交读 (read committed) 否 是 是可重复读 (repeatable read) 否 否 是可串行读 (serializable) 否 否 否

BACK

5.4 5.4 数据库恢复数据库恢复 5.4.1.数据库恢复概述5.4.2.数据库恢复的基本原理及其实现技术5.4.3.数据库的故障及其恢复策略5.4.4.SQL Server 2000的备份和还原机制

返回本章首页

5.4.1 5.4.1 数据库恢复概述数据库恢复概述 虽然数据库系统中已采取一定的措施，来防止数据库的安全性和完整性的破坏，保证并发事务的正确执行，但数据库中的数据仍然无法保证绝对不遭受破坏，比如计算机系统中硬件的故障、软件的的错误、操作员的失误、恶意的破坏等都有可能发生，这些故障的发生影响数据库数据的正确性，甚至可能破坏数据库，使数据库中的数据全部或部分丢失。 因此，系统必须具有检测故障并把数据从错误状态中恢复到某一正确状态的功能，这就是数据库的恢复。

BACK

5.4.2 5.4.2 数据库恢复的基本原理及其实现技术数据库恢复的基本原理及其实现技术 数据库恢复的基本原理十分简单，就是数据的冗余。数据库中任何一部分被破坏的或不正确的数据都可以利用存储在系统其他地方的冗余数据来修复。 因此恢复系统应该提供两种类型的功能：一种是生成冗余数据，即对可能发生的故障作某些准备；另一种是冗余重建，即利用这些冗余数据恢复数据库。 生成冗余数据最常用的技术是登记日志文件和数据转储，在实际应用中，这两种方法常常结合起来一起使用。

BACK

1 、登记日志文件（ Logging） 日志文件是用来记录事务对数据库的更新操作的文件。对数据库的每次修改，都将把被修改项目的旧值和新值写在一个叫做运行日志的文件中，目的是为数据库的恢复保留依据。 典型的日志文件主要包含以下内容： 1 ）更新数据库的事务标识（标明是哪个事务）； 2 ）操作的类型（插入、删除或修改）； 3 ）操作对象； 4 ）更新前数据的旧值（对于插入操作而言，没有旧值）； 5 ）更新后数据的新值（对于删除操作而言，没有新值）； 6 ）事务处理中的各个关键时刻（事务的开始、结束及其真正回写的时间）。

BACK

日志文件是系统运行的历史记载，必须高度可靠。所以一般都是双副本的，并且独立地写在两个不同类型的设备上。日志的信息量很大，一般保存在海量存储器上。 在对数据库修改时，在运行日志中要写入一个表示这个修改的运行记录。为了防止在这两个操作之间发生故障后，运行日志中没有记录下这个修改，以后也无法撤消这个修改。为保证数据库是可恢复的，登记日志文件必须遵循两条原则（称为“先写日志文件”原则）： 1 ）登记的次序严格并发事务执行的时间次序； 2 ）必须先写日志文件，后写数据库。

BACK

2 、数据转储（ Data Dump） 数据转储是指定期地将整个数据库复制到多个存储设备如磁带、磁盘上保存起来的过程，它是数据库恢复中采用的基本手段。 转储的数据文本称为后备副本或后援副本，当数据库遭到破坏后就可利用后援副本把数据库有效地加以恢复。 按照转储方式转储可以分为海量转储和增量转储。 按照转储状态转储又可分为静态转储和动态转储。

BACK

数据库运行过程中可能会出现各种各样的故障，这些故障可分为以下三类：事务故障、系统故障和介质故障。根据故障类型的不同，应该采取不同的恢复策略。 1 、事务故障及其恢复 事务故障（ Transaction Failure ）表示由非预期的、不正常的程序结束所造成的故障。 造成程序非正常结束的原因包括输入数据错误、运算溢出、违反存储保护、并行事务发生死锁等。

BACK

发生事务故障时，被迫中断的事务可能已对数据库进行了修改，为了消除该事务对数据库的影响，要利用日志文件中所记载的信息，强行回滚（ ROLLBACK）该事务，将数据库恢复到修改前的初始状态。 为此，要检查日志文件中由这些事务所引起的发生变化的记录，取消这些没有完成的事务所做的一切改变。

BACK

这类恢复操作称为事务撤消（ UNDO），具体做法如下： 1 、反向扫描日志文件，查找该事务的更新操作。 2 、对该事务的更新操作执行反操作，即对已经插入的新记录进行删除操作，对已删除的记录进行插入操作，对修改的数据恢复旧值，用旧值代替新值。这样由后向前逐个扫描该事务己做所有更新操作，并做同样处理，直到扫描到此事务的开始标记，事务故障恢复完毕。 因此，一个事务是一个工作单位，也是一个恢复单位。一个事务越短，越便于对它进行 UNDO操作。如果一个应用程序运行时间较长，则应该把该应用程序分成多个事务，用明确的 COMMIT语句结束各个事务。

BACK

2 、系统故障及其恢复 系统故障（ System Failure ）是指系统在运行过程中，由于某种原因，造成系统停止运转，致使所有正在运行的事务都以非正常方式终止，要求系统重新启动。引起系统故障的原因可能有：硬件错误如 CPU故障、操作系统或 DBMS代码错误、突然断电等。 这时，内存中数据库缓冲区的内容全部丢失，存储在外部存储设备上的数据库并未破坏，但内容不可靠了。

BACK

系统故障发生后，对数据库的影响有两种情况： 一种情况是一些未完成事务对数据库的更新已写入数据库，这样在系统重新启动后，要强行撤消（ UNDO）所有未完成事务，清除这些事务对数据库所做的修改。这些未完成事务在日志文件中只有 BEGIN TRANSCATION标记，而无 COMMIT标记。 另一种情况是有些己提交的事务对数据库的更新结果还保留在缓冲区中，尚未写到磁盘上的物理数据库中，这也使数据库处于不一致状态，因此应将这些事务己提交的结果重新写入数据库。这类恢复操作称为事务的重做（ REDO）。这种己提交事务在日志文件中既有 BEGIN TRANSCATION标记，也有 COMMIT标记。

BACK

因此，系统故障的恢复要完成两方面的工作，既要撤消所有未完成的事务，还需要重做所有己提交的事务，具体做法如下： 1 、正向扫描日志文件，查找尚未提交的事务，将其事务标识记入撤消队列。同时查找已经提交的事务，将其事务标识记入重做队列。 2 、对撤消队列中的各个事务进行撤消处理。方法同事务故障中所介绍的撤消方法。 3 、对重做队列中的各个事务进行重做处理。进行重做处理的方法是：正向扫描日志文件，按照日志文件中所登记的操作内容，重新执行操作，使数据库恢复到最近某个可用状态。

BACK

系统发生故障后，由于无法确定哪些未完成的事务己更新过数据库，哪些事务的提交结果尚未写入数据库，这样系统重新启动后，就要撤消所有的未完成事务，重做所有的已经提交的事务。 但是，在故障发生前已经运行完毕的事务有些是正常结束的，有些是异常结束的。所以无需把它们全部撤消或重做。

BACK

通常采用设立检查点（ CheckPoint）的方法来判断事务是否正常结束。每隔一段时间，系统就产生一个检查点，每个检查点记录包含的信息有：在检查点时间的所有活动事务一览表，每个事务最近日志记录的地址。 在重新启动时，恢复管理程序先从“重新启动文件”中获得检查点记录的地址，从日志文件中找到该检查点记录的内容，通过日志往回找，就能决定哪些事务需要撤消，恢复到初始的状态，哪些事务需要重做。为此利用检查点信息能做到及时、有效、正确的完成恢复工作。

BACK

3 、介质故障及其恢复 介质故障（ Media Failure ）是指系统在运行过程中，由于辅助存储器介质受到破坏，使存储在外存中的数据部分丢失或全部丢失。 这类故障比事务故障和系统故障发生的可能性要小，但这是最严重的一种故障，破坏性很大，磁盘上的物理数据和日志文件可能被破坏，这需要装入发生介质故障前最新的后备数据库副本，然后利用日志文件重做该副本后所运行的所有事务。

BACK

通过以上对三类故障的分析，我们可以看出故障发生后对数据库的影响有两种可能性： 1 、数据库没有被破坏，但数据可能处于不一致状态。 2 、数据库本身被破坏。 数据库恢复的基本原理就是利用数据的冗余的，十分简单，实现的方法也比较清楚，但真正实现起来相当复杂，实现恢复的程序非常庞大，常常占整个系统代码的百分之十以上。 数据库系统所采用的恢复技术是否行之有效，不仅对系统的可靠程度起着决定性使用，而且对系统的运行效率也有很大的影响，是衡量系统性能优劣的重要指标。

BACK

5.4.4 SQL Server 20005.4.4 SQL Server 2000 的备份和还原机制的备份和还原机制 SQL Server 2000备份和还原组件为存储在 SQL Server 数据库中的关键数据提供重要的保护手段。 SQL Server 2000 的备份和还原组件使您得以创建数据库的复本。 另外，也可出于其它目的备份和还原数据库，如将数据库从一台服务器复制到另一台服务器。

BACK

1. 1. 备份内容备份内容数据库需备份的内容可分为 : 系统数据库主要包括 master 、 msdb 和 model 数据库，它们记录了重要的系统信息，是确保系统正常运行的重要依据，必须完全备份。 用户数据库是存储用户数据的存储空间集，通常用户数据库中的数据依其重要性可分为关键数据和非关键数据。对于关键数据则是用户的重要数据，不易甚至不能重新创建，必须进行完全备份。 事务日志记录了用户对数据的各种操作，平时系统会自动管理和维护所有的数据库事务日志。相对于数据库备份，事务日志备份所需要的时间较少，但恢复需要的时间比较长。

2. 2. 备份设备备份设备 备份设备是用来存储数据库、事务日志或文件和文件组备份的存储介质。备份设备可以是硬盘、磁带或命名管道

( 逻辑通道 ) 。 本地主机硬盘和远程主机的硬盘可作为备份设备，备份设备在硬盘中是以文件的方式存储的。 SQL Server 使用物理设备名称或逻辑设备名称来标识备份设备。

– 物理备份设备是操作系统用来标识备份设备的名称。– 逻辑备份设备是用来标识物理备份设备的别名或公用名称，以简化物理设备的名称。

数据库备份的类型数据库备份的类型 完全备份。完全备份将备份整个数据库，包括用户表、系统表、索引、视图和存储过程等所有数据库对象。完整数据库备份完成备份操作需要更多的时间，适用于数据更新缓慢的数据库。 事务日志备份。事务日志记录数据库的改变，备份的时候只复制自上次备份事务日志后对数据库执行的所有事务的一系列记录。 差异备份。差异备份只记录自上次数据库备份后发生更改的数据，差异备份一般会比完全备份占用更少的空间。 文件和文件组备份。当数据库非常庞大时，可执行数据库文件或文件组备份。这种备份策略使用户只恢复已损坏的文件或文件组。而不用恢复数据库的其余部分，所以，文件和文件组的备份及恢复是一种相对较完善的备份和恢复过程。

创建和删除备份设备创建和删除备份设备使用企业管理器创建备份设备(1)打开企业管理器，展开选定的服务器。(2)展开“管理”文件夹，鼠标右键单击“备份”，在弹出的菜单中选择“新建备份设备”命令

(3)(3) 打开“备份设备属性”对话框打开“备份设备属性”对话框 在“名称”文本框中输入指定备份设备的逻辑文件名，在“文件名”文本框中输入要备份的文件的名称和存储路径。

使用企业管理删除备份设备使用企业管理删除备份设备 删除备份设备的操作步骤如下：(1)打开企业管理器，展开选定的服务器。(2)展开“管理”文件夹，单击“备份”项(3) 在右窗格中选择需要删除的备份设备，鼠标右键单击该设备，从弹出菜单中选择 “删除”命令即完成删除操作。

使用企业管理器备份数据库使用企业管理器备份数据库(1)打开企业管理器，展开选定的服务器。(2)选定“数据库”文件夹并展开，鼠标右键单击

Sales 数据库，在弹出的菜单中选择“所有任务→备份数据库”命令 ，打开“ SQL Server 备份”对话框。

(3)打开“ SQL Server 备份”对话框，在“目的”区域的“备份到”列表框中选择备份设备，或单击“添加”按钮，打开“选择备份目的”对话框以确定备份目的位置。

(4) 在“选择备份目的”对话框的“文件名”文本框中输入文件存放的路径，例如“ d:\Sales_back1” ，最好不用默认路径。单击“确定”按钮返回。(5) 在“ SQL Server 备份”对话框的“重写”区域选择“追加到媒体”。单击“确定”按钮完全备份数据库操作。

使用使用 BACKUPBACKUP 备份数据库备份数据库 使用 Transact-SQL语句 BACKUP 可以对整个数据库、数据库文件及文件组、事务日志进行备份。BACKUP DATABASE | LOG {database_name} [ <file_or_filegroup>[, … n ] ]TO backup_device [, … n]

例 例 使用使用 Transact-SQLTransact-SQL 语句备份数据库语句备份数据库(1) 数据库完全备份① 将数据库 Sales 备份到一个磁盘文件上，备份设备为物理设备。 BACKUP DATABASE Sales TO DISK='D:\Sales.BAK'② 将数据库 Sales 完全备份到逻辑备份设备 back1上。 BACKUP DATABASE Sales TO back1③ 若将 Sales 数据库分别备份到 back2 、 back3上，可使用“，”将备份设备分隔。 BACKUP DATABASE Sales TO back2,back3

数据库差异备份数据库差异备份 在 BACKUP DATABASE 语句中使用 WITH DIFFERENTIAL项以实现数据库差异备份。① 将 Sales 数据库差异备份到一个磁盘文件上。

BACKUP DATABASE Sales TO Disk='D:\Salesbk.bak‘ WITH DIFFERENTIAL

② 将 Sales 数据库差异备份到备份设备 back4上。BACKUP DATABASE Sales TO back4 WITH DIFFERENTIAL

事务处理日志备份事务处理日志备份将 Sales 数据库的事务日志备份到备份设备 back4 上。

BACKUP LOG Sales TO back4

例例 将数据库 将数据库 SalesSales 的数据文件和文件组备份的数据文件和文件组备份到 到 备份设备 备份设备 back4back4 中中BACKUP DATABASE Sales FILE='Sales_data1' FILEGROUP='fg1',FILE ='Sales_data2',FILEGROUP='fg2'TO back4BACKUP LOG Sales TO back4本例将数据库 Sales 的数据文件 Sales_data1 、 Sales_data2 及文件组 fg1 、 fg2备份到备份设备 back4 中。

备份数据文件和文件组在 BACKUP DATABASE语句中使用“ FILE=逻辑文件”或“ FILEGROUP=逻辑文件组名”来备份文件和文件组。

恢复数据库恢复数据库1. 使用企业管理器恢复数据库(1)打开企业管理器，展开选定的服务器。(2)选择 Sales 数据库并单击鼠标右键，在弹出的菜单中选择“所有任务→恢复数据库”菜单项，打开“还原数据库”对话框

使用使用 RESTORERESTORE 恢复数据库恢复数据库RESTORE DATABASE | LOG{database_name}<file_or_filegroup> [ , … n ] FROM <backup_device>[ , … n]

例例 从一个已存在的备份介质 从一个已存在的备份介质 back1back1 恢复整恢复整个数据库个数据库 SalesSales 。。RESTORE DATABASE SalesFROM back1

例 将一个数据库备份和一个事务日例 将一个数据库备份和一个事务日志进行数据库的恢复操作。志进行数据库的恢复操作。RESTORE DATABASE Sales FROM back1RESTORE LOG SalesFROM back1

例例 12-10 12-10 恢复数据库恢复数据库 SalesSales 中指定数据文中指定数据文件件 Sales_data1Sales_data1 。。 RESTORE DATABASE SalesFILE='Sales_data1'FROM back4WITH NORECOVERY

5.5.1 5.5.1 小 结小 结 数据库的重要特征是它能为多个用户提供数据共享。在多个用户使用同一数据库系统时，要保证整个系统的正常运转， DBMS 必须具备一整套完整而有效的安全保护措施。本章从安全性控制、完整性控制、并发性控制和数据库恢复四方面讨论了数据库的安全保护功能。 数据库的安全性是指保护数据库，以防止因非法使用数据库所造成数据的泄露、更改或破坏。实现数据库系统安全性的方法有用户标识和鉴定、存取控制、视图定义、数据加密和审计等多种，其中，最重要的是存取控制技术和审计技术。

返回本章首页

5.5.2 5.5.2 小 结小 结 并发控制是为了防止多个用户同时存取同一数据，造成数据库的不一致性。事务是数据库的逻辑工作单位，并发操作中只有保证系统中一切事务的原子性、一致性、隔离性和持久性，才能保证数据库处于一致状态。并发操作导致的数据库不一致性主要有丢失更新、污读和不可重读三种。实现并发控制的方法主要是封锁技术，基本的封锁类型有排它锁和共享锁两种，三个级别的封锁协议可以有效解决并发操作的一致性问题。对数据对象施加封锁，会带来活锁和死锁问题，并发控制机制可以通过采取一次加锁法或顺序加锁法预防死锁的产生。死锁一旦发生，可以选择一个处理死锁代价最小的事务将其撤销。

5.5.3 5.5.3 小小 结结 数据库的恢复是指系统发生故障后，把数据从错误状态中恢复到某一正确状态的功能。对于事务故障、系统故障和介质故障三种不同的故障类型， DBMS 有不同的恢复方法。登记日志文件和数据转储是恢复中常用的技术，恢复的基本原理是利用存储在日志文件和数据库后备副本中的冗余数据来重建数据库。 数据库的完整性是指保护数据库中数据的正确性、有效性和相容性。完整性和安全性是两个不同的概念，安全性措施的防范对象是非法用户和非法操作，完整性措施的防范对象是合法用户的不合语义的数据。

习 题一、选择题1 、对用户访问数据库的权限加以限定是为了保护数据库的 ( ) 。 A ．安全性　　 B ．完整性　　 C ．一致性　　 D ．并发性2 、数据库的 ( ) 是指数据的正确性和相容性。 A ．完整性　　 B ．安全性　　 C ．并发控制　　 D ．系统恢复3 、在数据库系统中，定义用户可以对哪些数据对象进行何种操作被称为 ( ) 。 A ．审计　　 B ．授权　　 C ．定义　　 D ．视图4 、脏数据是指 ( ) 。

习 题 A ．不健康的数据　　 B ．缺损的数据　　 C ．多余的数据 D ．被撤消的事务曾写入库中的数据5 、设对并发事务 T1 、 T2 的交叉并行执行如下，执行过程中 ( ) 。 Tl T2 ①READ(A) ② READ(A) A=A+10 写回 ③READ(A) A ．有丢失修改问题　　 B ．有不能重复读问题 C ．有读脏数据问题　　 D ．没有任何问题6 、若事务 T1 已经给数据 A 加了共享锁，则事务 T2( ) 。

习 题 A．只能再对 A加共享锁　 B．只能再对 A加排它锁 C．可以对 A加共享锁，也可以对 A加排它锁　 D．不能再给A加任何锁7、用于数据库恢复的重要文件是 ( )。 A. 日志文件　 　B.索引文件　　 C. 数据库文件　　 D. 备注文件8、若事务 T1已经给数据对象A加了排它锁，则 T1 对A( )。 A．只读不写　 B．只写不读　 C．可读可写　 D．可以修改，但不能删除9、数据库恢复的基本原理是 ( )。 A．冗余　　B．审计　　C．授权　　D．视图10 、数据备份可只复制自上次备份以来更新过的数据，这种备份方法称为 ( )。

习 题A．海量备份　　B．增量备份　　C．动态备份　D．静态备份二、填空题1 、对数据库的保护一般包括 _________、 _________、_________和 _________ 四个方面的内容。2 、对数据库 ______性的保护就是指要采取措施，防止库中数据被非法访问、修改，甚至恶意破坏。3 、安全性控制的一般方法有 _____、 _____、 _____、_____和 _____ 五种。4 、用户鉴定机制包括 ______和 ______两个部分。

习 题5 、每个数据均需指明其数据类型和取值范围，这是数据____约束所必需的。6、在 SQL 中， ______语句用于提交事务， ______语句用于回滚事务。7、加锁对象的大小被称为加锁的 ______。8、对死锁的处理主要有两类方法，一是 ______，二是____9、解除死锁最常用的方法是 ______。10 、基于日志的恢复方法需要使用两种冗余数据，即 ______和 ______。

习 题三、简单题1 、简述数据库保护的主要内容。2 、什么是数据库的安全性？简述 DBMS 提供的安全性控制功能包括哪些内容。3 、什么是授权？什么是授权规则？关系数据库系统中用户可以有哪些权限？4 、什么是数据库的完整性？ DBMS 提供哪些完整性规则，简述其内容。5 、数据库的安全性保护和完整性保护有何主要区别 ?6 、什么是事务？简述事务的 ACID 特性，事务的提交和回滚是什么意思？

习 题7 、数据库管理系统中为什么要有并发控制机制？8 、在数据库操作中不加控制的并发操作会带来什么样的后果？如何解决？9 、什么是封锁？封锁的基本类型有哪几种？含义是什么？10 、简述共享锁和排它锁的基本使用方法。11 、什么是活锁？如何处理？12 、什么是死锁？消除死锁的常用方法有哪些？请简述之。13 、简述常见的死锁检测方法。14 、数据库运行过程中可能产生的故障有哪几类？各类故障如何恢复？15 、什么是数据恢复？为什么要进行数据备份？16 、什么是日志文件？为什么要在系统中建立日志文件？