软件测试中用好SQL事件探查器来跟踪SQL语句执行
SQL是高级的非过程化编程语言，允许用户在高层数据结构上工作。它不要求用户指定对数据的存放方法，也不需要用户了解具体的数据存放方式，所以具有完全不同底层结构的不同数据库系统，可以使用相同的SQL语言作为数据输入与管理的 SQL
接口。它以记录集合作为操作对象，所有SQL语句接受集合作为输入，返回集合作为输出，这种集合特性允许一条SQL语句的输出作为另一条SQL语句的输入，所以SQL语句可以嵌套，这使他具有极大的灵活性和强大的功能，在多数情况下，在其他语言中需要一大段程序实现的功能只需要一个SQL语句就可以达到目的，这也意味着用SQL语言可以写出非常复杂的语句。 结构化查询语言(Structured Query Language)最早是IBM的圣约瑟研究实验室为其关系数据库管理系统SYSTEM R开发的一种查询语言，它的前身是SQUARE语言。SQL语言结构简洁，功能强大，简单易学，所以自从IBM公司1981年推出以来，SQL语言得到了广泛的应用。如今无论是像Oracle、Sybase、Informix、SQL Server这些大型的数据库管理系统，还是像Visual Foxpro、PowerBuilder这些PC上常用的数据库开发系统，都支持SQL语言作为查询语言。 美国国家标准局(ANSI)与国际标准化组织（ISO）已经制定了SQL标准。ANSI是一个美国工业和商业集团组织，负责开发美国的商务和通讯标准。ANSI同时也是ISO和International Electrotechnical Commission(IEC)的成员之一。ANSI 发布与国际标准组织相应的美国标准。1992年，ISO和IEC发布了SQL国际标准，称为SQL-92。ANSI随之发布的相应标准是ANSI SQL-92。ANSI SQL-92有时被称为ANSI SQL。尽管不同的关系数据库使用的SQL版本有一些差异，但大多数都遵循 ANSI SQL 标准。SQL Server使用ANSI SQL-92的扩展集，称为T-SQL，其遵循ANSI制定的 SQL-92标准。 SQL语言包含4个部分： ※ 数据定义语言(DDL)，例如：CREATE、DROP、ALTER等语句。 ※ 数据操作语言(DML)，例如：INSERT（插入）、UPDATE（修改）、DELETE（删除）语句。 ※ 数据查询语言(DQL)，例如：SELECT语句。 ※ 数据控制语言(DCL)，例如：GRANT、REVOKE、COMMIT、ROLLBACK等语句。 SQL语言包括三种主要程序设计语言类别的语句：数据定义语言(DDL)，数据操作语言(DML)及数据控制语言(DCL)。 SQL 是用于访问和处理数据库的标准的计算机语言。 SQL 指结构化查询语言 SQL 使我们有能力访问数据库 SQL 是一种 ANSI 的标准计算机语言 编者注：ANSI，美国国家标准化组织
因开发中的项目基于第三方公司开发的项目，数据库都是直接的依赖关系，而且也不知道那公司开发的项目源码和数据库表之间的关系，安装的过程中也是我从未所见的“流氓”(具体可以参见你见到过垄断主义的软件吗？ )。因此首先遇到的问题是分析它的数据库结构以及它的软件到底对数据库进行了什么样的操作？故通过朋友的介绍，发现了SQL事件探查器的确是一个跟踪SQL语句执行的好工具，这里我分享给大家：
SQL事件探查器是SQL Server提供的一个图形工具，通过该工具主要可以实现如下功能：（摘录如下）
1、监视SQL Server实例的性能。
2、调试Transact-SQL语句和存储过程。
3、识别执行慢的查询。
4、在工程开发阶段，通过单步执行语句测试SQL语句和存储过程，以确认代码按预期运行。
5、通过捕捉生产系统中的事件并在测试系统中重播它们来解决SQL Server中的问题。这对测试和调试很有用，并使得用户可以不受干扰地继续使用生产系统。
6、审核和复查在SQL Server实例中发生的活动。这使得安全管理员得以复查任何的审核事件，包括登录尝试的成功与失败，以及访问语句和对象的权限成功与失败。
需要注意的是：运行SQL 事件探查器时，必须确保系统至少有10MB的可用空间，否则SQL 事件探查器的所有功能都将停止。
我们可以看到这个SQL的事件探查器的确很强大，SQL Server里面的执行的每一个动作，都可以在SQL事件探查器里看的一清二楚，这对于性能调剂，后期维护等等都是有非常大的帮助的。但是，问题也就来了，在你的软件开发完毕后，作为软件的开发方而言并不希望使用软件的使用者通过SQL事件探查器来跟踪SQL语句。那么这种情况该怎么办呢？有没有什么办法不能让SQL事件探查器跟踪到呢？
下面我们来探索这个问题：
假设你数据库里面有一张表:Organization,里面有一个字段是password,那么当你执行下面的SQL语句的时候：
| SELECT [Password] FROM [Organization] |
● 在该事件文本中找到“password”。
● 出于安全原因，已用该注释替换此文本。
这样，就看不到你执行的SQL语句的内容了。
但是，你可以会说，如果在我的Organization里面没有password字段的话还不是要显示出来？确认如此，但是官方介绍说：只要在查询的过程中，任意地方出现关键词：password,encryption,sp_setapprole之一，整个查询过程都将被隐藏，任意地方，当然也包括注释中。例如执行下面的语句：
| --Password /*保护SQL语句*/ SELECT 1 FROM [Organization1] |
同样的我们在SQl事件探查器里面看到的是：
总结：
这样就很清楚的明白：如果要避免SQL语句在SQL事件探查器里面被跟踪的话，只需要添加一个关键词的注释就可以把SQL语句保护起来了。
可喜的是，我开发的系统所依赖的第三方系统软件并没有对此SQL语句做保护，故可以通过SQL事件探查器分析软件对数据库进行了那些操作，进一步分析数据库表的结构。
可以想象一下如果软件中的SQL语句都做了保护的话，如果只能过产品或者发布好的软件要来分析数据库表的结构是何等的困难？
文章来源于领测软件测试网 https://www.ltesting.net/
