避免SQL注入以及如何保护您的数据库

我认为每个开发人员都应该理解数据库需要不同的范例。

在编写查询以获取数据时，需要一种基于集的方法。许多具有交互背景的人对此感到困惑。然而，当他们接受它时，他们可以获得更好的结果，即使解决方案可能不是第一次出现在他们以迭代为中心的思想中的解决方案。

我只是想指出一个观察结果——似乎大多数的回答都假设数据库与关系数据库是可以互换的。还有对象数据库，平面文件数据库。评估当前软件项目的需求是很重要的。从程序员的角度来看，数据库决策可以推迟到以后。另一方面，数据建模可以在早期实现，并带来很大的成功。

我认为数据建模是一个关键组件，是一个相对较老的概念，但它已经被软件行业中的许多人遗忘了。数据建模，尤其是概念建模，可以揭示系统的功能行为，并可作为开发的路线图。

另一方面，所需的数据库类型可以根据许多不同的因素来确定，包括环境、用户数量和可用的本地硬件(如硬盘空间)。

RDBMS兼容性

查看是否需要在多个RDBMS中运行应用程序。如有，可能需要:

避免RDBMS SQL扩展 消除触发器和存储过程 遵循严格的SQL标准 转换字段数据类型 更改事务隔离级别

否则，这些问题应该分开处理，并开发应用程序的不同版本(或配置)。

基本的索引

当看到一个表或整个数据库没有索引，或者索引是任意的/无用的时，我总是感到震惊。即使你不是在设计数据库，只是需要编写一些查询，至少理解以下内容仍然是至关重要的:

数据库中索引了什么，没有索引什么: 扫描类型之间的差异，它们是如何选择的，以及您编写查询的方式如何影响这种选择; 覆盖率的概念(为什么你不应该只写SELECT *); 聚类索引和非聚类索引之间的区别; 为什么更多/更大的指数不一定更好; 为什么应该尽量避免在函数中包装筛选器列。

设计人员还应该注意常见的索引反模式，例如:

Access反模式(逐个索引每一列) Catch-All反模式(在所有或大多数列上建立一个大型索引，显然是在错误的印象中创建的，认为它会加速涉及这些列的所有可以想象的查询)。

数据库索引的质量——以及您在编写查询时是否利用了它——是迄今为止最重要的性能部分。在SO和其他论坛上发布的抱怨性能不佳的问题中，10个问题中有9个总是被证明是由于索引不好或表达式不sargable。

基本的SQL技能。 索引。 处理DATE/ TIME/ TIMESTAMP的不同形式。 用于您正在使用的平台的JDBC驱动程序文档。 处理二进制数据类型(CLOB、BLOB等)