慢步在雲端... 邱英瑞(Jacky) : SQL Server 2005

SQL Server 2005 Service Pack 3 - Beta

jchiou — Fri, 31 Oct 2008 05:26:06 GMT

請注意這是 Beta 版，不要任意在正式環境中做更新及測試。請在測試環境上安裝及測試。

下載網址：

http://www.microsoft.com/downloads/details.aspx?FamilyID=d22317e1-bc64-4936-a14b-7a632b50a4ca&DisplayLang=en

ADO.NET 2.0 之 SqlConnectionStringBuilder

jchiou — Wed, 24 Sep 2008 10:47:31 GMT

一直以來在指定連線字串時，我們都會習慣使用下列的方式，

string strConn = @"Data Source=.\SQLExpress;Integrated Security=True;Pooling=False";

在 ADO.NET 2.0 後，多了另一個選擇 Connection String Builder。

什麼是 SqlConnectionStringBuilder 呢？

連接字串產生器可讓開發人員使用類別的屬性和方法，以程式設計的方式建立語法正確的連接字串，並剖析和重建現有的連接字串。該類別也使管理應用程式組態檔中儲存的連接字串更加容易。

即上面的指定方法可改為：

SqlConnectionStringBuilder scsb = new SqlConnectionStringBuilder();
scsb.DataSource = @".\SQLExpress";
scsb.InitialCatalog = "Northwind";
scsb.IntegratedSecurity = true;

筆者有時也會忘了要如何指定連線字串的參數，這個方式有支援 IntelliSense，讓指定參數更為方便。

更多資訊：

SqlConnectionStringBuilder 類別

筆者使用的環境：Vista x64 w/SP1 + VSTS 2008 w/SP1 + SQL 2005 Express w/SP2.

Enjoy.

如何證明 ADO.NET 預設有使用 Connection Pooling 的機制

jchiou — Wed, 24 Sep 2008 10:03:04 GMT

使用 Connection Pooling 的機制，可以加快我們存取資料庫的速度。

預設 ADO.NET 是開啟 Connection Pooling 的，那要如何證明呢？

筆者用一個小程式，取得 InnerConnection 來做比較，在有開啟 Connection Pooling 下，因兩個物件相同，故會得到 True。

如下圖：

若將連線字串改為 @"Data Source=.\SQLExpress;Integrated Security=True;Pooling=False"; 執行結果為 False（代表沒有使用 Connection Pooling 的機制）

程式碼如下：

using System;
using System.Reflection;
using System.Data.SqlClient;

namespace InnerConnectionDemo
{
    class Program
    {
        static void Main(string[] args)
        {
            // 若將連線字串改為 @"Data Source=.\SQLExpress;Integrated Security=True;Pooling=False"; 執行結果為 False
            string strConn = @"Data Source=.\SQLExpress;Integrated Security=True;";
            PropertyInfo propInnerConn;
            propInnerConn = typeof(SqlConnection).GetProperty("InnerConnection", BindingFlags.NonPublic | BindingFlags.Instance);

object objInnerConn1, objInnerConn2;

            using (SqlConnection cn = new SqlConnection(strConn))
            {
                cn.Open();
                objInnerConn1 = propInnerConn.GetValue(cn, null);
            }

            using (SqlConnection cn = new SqlConnection(strConn))
            {
                cn.Open();
                objInnerConn2 = propInnerConn.GetValue(cn, null);
            }

            Console.WriteLine("objInnerConn1 與 objInnerConn2 是否相同? {0}", objInnerConn1 == objInnerConn2);
        }
    }
}

筆者使用的環境為 Vista x64 w/SP1 + VSTS 2008 w/SP1 + SQL 2005 Express w/SP2.

LINQ to SQL 第二集 - Debug Visualizer

jchiou — Tue, 23 Sep 2008 11:31:08 GMT

LINQ to SQL 可以讓我們很方便的操作資料庫的內容，但若遇到問題或是需要去細看其所執行的 T-SQL及結果，在 Visual Studio 中就不是那麼方便了。

如下圖，T-SQL 語法無法完全顯示，需將 T-SQL 貼到 SQL Server 的管理工具或其它工具才較方便查看。

筆者有使用一個小工具 LINQ to SQL Debug Visualizer，讓我們在 Visual Studio 中可以更方便檢視 LINQ 所執行的 T-SQL。

由於 VS 2008 並沒有內建這個小工具，需要額外下載及安裝。

要如何安裝它呢？

1. 可以由這裡下載。

2. 將 SqlServerQueryVisualizer.zip 解壓縮，其中也包含它的原始程式碼。

3. 確定所有的 Visual Studio 都已關閉。

4. 把 \bin\debug\ 目錄中的 SqlServerQueryVisualizer.dll 複製到 \Program Files\Microsoft Visual Studio 9.0\Common7\Packages\Debugger\Visualizers\ 中

5. 開啟 Visual Studio 後，按 F5，執行 LinqToSql 的專案（該專案請參考LINQ To SQL 第一集）。

6. 即可發現中斷點的部份，比起之前多了一個放大鏡的圖示，請與第一張圖對照即可發現不同。

7. 當按下像放大鏡圖示時，會出現另一個視窗如下，上半部顯示 LINQ 的語法，下半部顯示其對映的 T-SQL。方便多了。

8. 當我們勾選下方的『Original query』，可以發現 where 條件變為參數的顯示方式。

9. 也可以按下『Execute』，得到執行後的結果，看一下是否為預期的結果。這個功能筆者也喜歡。

筆者的環環境為 Vista SP1 + VSTS 2008 SP1 + SQL 2005 Express SP2

Hope this helps.

LINQ to SQL 第一集

jchiou — Tue, 23 Sep 2008 10:30:15 GMT

LINQ 如何與 SQL Server 資料庫整合？Visual Studio 2008 又有那些方便的功能可以協助我們呢？

今天筆者建立一個簡單的 Windows Form 的應用程式 + 不到 10 行的程式碼來示範這個部份。

步驟如下：

1. 開啟 VS 2008 並新增一個 Windows Form 專案，命名為『LinqToSql』

2. 拖工具箱拖一個 DataGridView 到表單上，並設定『Dock in parent container』

3. 對專案加入一毎新項目『LINQ to SQL Classes』，並命名為『Northwind.dbml』

4. 在伺服器總管，設定連線到 SQL Express 的 Northwind 範例資料庫，並將 Category、Product、Order及 Order_Detail 拖到 Northwind.dbml 中

5. 在 Form1_Load 加入下列 5 行程式碼

        private void Form1_Load(object sender, EventArgs e)
        {
            NorthwindDataContext db = new NorthwindDataContext();

            var products = (from p in db.Products
                            where p.Category.CategoryName.StartsWith("C")
                            select p).Skip(10).Take(10);
            dataGridView1.DataSource = products;
        }

// 上述的程式碼會取得在 Product 中，其 Category 的 CategoryName 為 C 開頭的資料

// 跳過前 10 筆資料後，再取出 10 筆資料來顯示

6. 執行這個應用程式

當然也可加入新增、修改、刪除等功能。LINQ 的語法也可以使更多的變化。

筆者的環境為 Vista SP1 + VSTS 2008 SP1 + SQL 2005 Express w/SP2

Hope this helps.

UrlScan v3.0 Helps Filter SQL Injection Attacks.

jchiou — Mon, 25 Aug 2008 04:01:07 GMT

UrlScan 在 3.0 的版本中，特別加強了對 SQL Injection 的防護。8/20 已公佈 RTW 的版本，下載位置：

Microsoft Urlscan Filter v3.0(x86)

Microsoft Urlscan Filter v3.0 (x64)

UrlScan v3.0 Beta Release

筆者之前已收集有關 SQL Injection 的資訊：

The Microsoft Source Code Analyzer for SQL Injection tool

SQL Injection 相關資訊

Enjoy.

Supportability for SQL Server 2005 in a virtual machine environment

jchiou — Wed, 30 Jul 2008 05:04:59 GMT

原文網址:http://support.microsoft.com/kb/956262/en-us

SUMMARY

Because we have not tested Microsoft SQL Server 2005 to run in a virtual machine (VM) environment, we only provide commercially reasonable support for SQL Server 2005 running in a VM environment. Commercially reasonable support is defined as all reasonable support efforts by Microsoft Customer Support Services (CSS) that do not require code fixes for SQL Server 2005.
If you have problems in SQL Server 2005 running in a VM environment and the problem cannot be resolved by commercially reasonable support, you must try to reproduce this problem in a non-VM environment. If you can reproduce this problem, the problem is qualified to be escalated to the SQL Server Product Group as a bug.

MORE INFORMATION

Versions of SQL Server after SQL Server 2005 will incorporate full support for running on a supported guest operating system that is installed on a Windows Server 2008 Hyper-V virtual machine.

筆者建議在正式環境中，若欲將 SQL Server 2005 安裝在虛擬環境中的朋友，一定要先進行完整的測試，包含與應用程式整合及效能的監控及觀察。

The Microsoft Source Code Analyzer for SQL Injection tool

jchiou — Thu, 10 Jul 2008 03:48:32 GMT

防護 SQL 插入式攻擊弱點的新安全性工具

Microsoft Source Code Analyzer for SQL Injection 工具是一種靜態程式碼分析工具，可幫助您尋找動態伺服器網頁 (ASP) 程式碼中的 SQL 插入式攻擊弱點。

Enjoy.

變更 SQL Server 預設的連接埠(port)

jchiou — Fri, 06 Jun 2008 05:12:19 GMT

SQL Server 預設的執行個體的設定連接埠是 1433。此連接埠一旦被執行個體佔用後，就不能供其他執行個體使用了。因此，如果您要安裝第二個使用 TCP 在網路上接聽的 (具名, Named) 執行個體，就需要另一個連接埠了。

假設系統管理員把執行個體的連接埠改為 1466，接下來就必須設定用戶端，讓它使用不同的連接埠。常用的方法有三種：

1. 在您的連線字串（ConnectionStrings）內，把執行個體的連接埠號碼指定為使用 SQLServerName,1466 語法就行了。如果連接埠再度變更，用戶端也必須再次變更它們的連線字串。

2. 使用 SQL Server 別名(Alias)。除了指定別名之外，還必須指定伺服器名稱、連接埠名稱和通訊協定。設定好之後，可像使用伺服器名稱一樣，使用別名連接到資料庫執行個體。更多資訊：http://support.microsoft.com/kb/265808

3. 使用 SQL Server Browser 服務。這種情況下的使用者只知道執行個體名稱，並且在連線字串(ConnectionStrings) 內使用 MachineName\InstanceName。更多資訊：http://msdn.microsoft.com/zh-tw/library/ms181087.aspx

Microsoft Synchronization Services for ADO.NET SP1 Books Online

jchiou — Fri, 30 May 2008 04:40:46 GMT

Synchronization Services lets you synchronize data from disparate sources over two-tier, N-tier, and service-based architectures. Instead of only replicating a database and its schema, the Synchronization Services application programming interface (API) provides a set of desktop and device components to synchronize data between data services and a local store.

http://www.microsoft.com/downloads/details.aspx?FamilyID=42e26cfb-c70c-498f-b916-a7f6eb1e43cc&DisplayLang=en

SQL Injection 相關資訊

jchiou — Mon, 26 May 2008 11:01:39 GMT

SQL Injection(資料隱碼)攻擊行為簡介

以下是此類攻擊的流程

1. 駭客運用搜尋引擎尋找網頁上的漏洞，並運用自動化工具攻擊網路服務器。

2. 一個<script>字串附加到在後端運行的SQL伺服器中所有的文本或可變長字串列中。

3. 這個腳本與駭客所控制伺服器連接。該伺服器含有一些常用軟體的利用代碼，如Microsoft MS06-014，協力廠商軟體漏洞，（例如常用的媒體播放器及內容下載軟體）。有的時候還有一些零時差漏洞。

4. 當終端使用者試圖用IE流覽正常的網站時，由於這些網頁都將從SQL伺服器獲取資料，這些資料同時包含了惡意腳本<script>。而這些腳本會自動連接到駭客的網站。

5. 如果普通使用者沒有依照建議安裝修正程式，防毒軟體，或尚未安裝Microsoft或協力廠商軟體最新版本的更新，那麼他們的電腦就會被感染。

SQL Injection(資料隱碼)攻擊行為的解決方案

一旦web伺服器遭到SQL注入攻擊，請遵循如下步驟：

1、關閉網站

2、檢查IIS日誌，查找引起這次攻擊的有漏洞的目標網頁

3、聯繫web開發者，修改並加強ASP頁面。

注意這只是一種變通的解決方法，只能臨時解決SQL Injection問題。該網站可能在伺服器再次聯網後被再次注入。為了徹底解決這個問題，請參閱“預防SQL Injection(資料隱碼)攻擊的解決方案”。

預防SQL注入攻擊的解決方案

這種SQL Injection攻擊是由網頁程式開發不符合安全編碼的要求所引起的。為了防止攻擊，我們需要驗證所有網頁的字串輸入的函數。比如說，帶有用戶名和密碼輸入框的網站登錄頁。

我們也可以在微軟的官方網站上找到安全指導和最佳實踐建議，來應對SQL Injection(資料隱碼)攻擊。

用來減緩與解決SQL Injection攻擊的最佳實踐建議可以在這裡找到：

http://msdn2.microsoft.com/en-us/magazine/cc163917.aspx

SQL 資料隱碼

http://msdn.microsoft.com/zh-tw/library/ms161953.aspx

『資料隱碼』SQL Injection的源由與防範之道

http://www.microsoft.com/taiwan/sql/SQL_Injection.htm

SQL Injection (資料隱碼)– 駭客的 SQL填空遊戲(上)

http://www.microsoft.com/taiwan/sql/SQL_Injection_G1.htm

SQL Injection (資料隱碼)– 駭客的 SQL填空遊戲(下)

http://www.microsoft.com/taiwan/sql/SQL_Injection_G2.htm

How To - Protect from Injection Attacks in ASP.NET

http://msdn.microsoft.com/en-us/library/bb355989.aspx

How To - Protect from SQL Injection in ASP.NET

http://msdn.microsoft.com/en-us/library/ms998271.aspx

How To - Protect from Cross-Site Scripting in ASP.NET

http://msdn.microsoft.com/en-us/library/ms998274.aspx

Design Guidelines

http://msdn.microsoft.com/en-us/library/aa302420.aspx

Arch/Design Inspection

http://msdn.microsoft.com/en-us/library/aa302421.aspx

對於用戶端使用者，請確保電腦系統中已安裝了微軟及協力廠商軟體的最新安全修正程式以及最新的防毒程式定義檔。

注意，SQL Injection 不只會在 MS SQL Server 上會發生，在其它廠牌的資料庫產品也可能會有相同的情況發生。

如何查詢 SQL Server 資料庫中欄位值為 NULL 的資料

jchiou — Thu, 01 May 2008 10:36:04 GMT

先建立測試資料表，如下：

-- 1. 查詢資料表中所有的資料
SELECT * FROM tblCustomer

-- 2. 使用『= NULL』查詢欄位為 NULL 的資料，

-- 會找不到資料，但確實有 LastName 為 NULL 的資料
SELECT * FROM tblCustomer WHERE LastName = NULL

-- 3. 使用『IS NULL』查詢欄位為 NULL 的資料
SELECT * FROM tblCustomer WHERE LastName IS NULL

-- 4. 使用『IS NOT NULL』查詢欄位不為 NULL 的資料
SELECT * FROM tblCustomer WHERE LastName IS NOT NULL

-- 筆者使用的環境 Vista w/ SP1 + SQL Server 2005 Dev w/ SP2
-- 5. 查詢 SQL Server 版本
SELECT @@VERSION

Hope this help.

請協助我們改善您在 MSDN 上尋找資訊的體驗

jchiou — Fri, 25 Apr 2008 05:31:39 GMT

您是否覺得很難在 MSDN 快速找到需要的資訊?

MSDN 團隊正致力於改善您在尋找所需資訊時的體驗。請花個兩分鐘來告訴我們您想要的內容格式和搜尋方式。詳細內容...

雖然 MSDN 已經比以前好很多了，但我們都希望它可以更好，筆者自己也有做完問卷，大家有空時可以填一下，感恩。

Cumulative update package 7 for SQL Server 2005 Service Pack 2

jchiou — Tue, 15 Apr 2008 12:56:21 GMT

此為 SQL Server 2005 w/ SP2 後的第7個版本的重要更新，其修正了許多問題，此建置的累積更新程式套件為也稱為建置 3239。詳細資訊：

中文：

http://support.microsoft.com/kb/949095/zh-tw

英文：

http://support.microsoft.com/kb/949095/en-us

強烈建議一定要先在測試環境測試後，再到您的正式環境中安裝。

如何在 Windows Server 2008 上安裝及設定 Reporting Service 2005

jchiou — Tue, 08 Apr 2008 06:31:46 GMT

若您想在 Windows Server 2008 上安裝及設定 Reporting Service 2005，並讓 RS 2005可以正常執行，請參考：

How to install and how to configure SQL Server 2005 Reporting Services on a computer that is running Windows Server 2008

http://support.microsoft.com/kb/938245/en-us

主要重點有二：

1. 一定要更新到 Reporting Service 2005 SP2

2. 由於 IIS7 將每個元件都拆開來安裝，請記得檢查 IIS 7 中相關元件是否已安裝

若覺得英文的說明讀起來有點吃力，可以將之轉換為繁體中文，在右方有一個 Article Translations，如下圖：

由於本文是以 Microsoft 機器翻譯軟體翻譯而成，而非使用人工翻譯而成。機器翻譯的文章可能不盡完美。這些文章中也可能出現拼字、語意或文法上的錯誤，就像外國人在使用本國語言時可能發生的錯誤。