站长必修：SQL Server运维12大坑与网关级防护方案

文章配图，仅供参考

　　先扔结论后补细节：SQL Server运维十二大坑，八成不是坑在它自己身上，是坑在“站长当它是数据库用”这件事上。它根本不是数据库，是带T-SQL壳的Windows服务全家桶——注册表钩子、WMI事件、本地组策略、SSPI认证链、Windows日志源、甚至PowerShell执行上下文，全他妈混在一起跑。你光盯sys.dm_exec_sessions？行啊，但谁告诉你sp_who2返回的login_time是UTC还是本地时区？这个我敢打包票：你用GETDATE()查出来的登录时间，和网关层收到的X-Forwarded-For时间戳差值，永远凑不出一个整数秒——中间夹着Kerberos票据有效期校验那137毫秒。

　　所以网关级防护真能兜住？能，但只兜得住你愿意让它兜的那部分。比如SQL注入，我们用正则+语法树双校验，结果上周被一个用CHAR(97)+CHAR(100)+CHAR(109)+CHAR(105)+CHAR(110)拼接的ad\\min绕过去了；那个payload里嵌了三个UNION SELECT，网关没拦，DBA第二天早上在错误日志里翻出它的时候，正把运维小张递来的保温桶打开，里面是三颗溏心蛋——他昨晚值守完直接去菜市场买的土鸡蛋。

　　再说第八大坑：tempdb自动增长策略。我原以为把growth设成固定128MB就万事大吉，结果发现SQL Server 2019默认启用了TF 1118，而网关层缓存策略又依赖临时表命名模式（sys._tmp_这种），某次tempdb重置后所有命名突然加了个前缀sysx._tmp_……网关cache key失效，流量直接打穿到后端。那天下午监控大屏右下角的CPU利用率曲线抖了一下，幅度不大，但旁边那个标着「Redis连接池健康度」的指标也跟着往下坠了0.3%，我就知道肯定不是Redis的事——果然是tempdb元数据页争用把锁等死了。

　　还有那个最搞笑的第六坑：备份路径权限。SA能跑BACKUP DATABASE TO DISK，但SQL Agent账户不能读同一条路径下的.bak文件——网关日志里出现的不是“backup failed”，而是“RESTORE headeronly timeout”，超时卡在Schannel握手阶段。为什么？因为网关转发RESTORE请求时，带着X-Forwarded-User: SQLAgent$MSSQLSERVER，而AD里这账户没被加进Backup Operators组。我们查了三天，最后是在域控制器日志里找到一句：“KDC_ERR_S_PRINCIPAL_UNKNOWN”，才意识到——它压根没在域里注册SPN。这时候厂商销售老刘打电话过来问PO进展，说他们新推的「智能网关一体机」能自动识别SQL Server Kerberos流程……我没挂，听他讲完，顺手把节点分布图最小化窗口里那个无关的小红点点了两下——图上标着杭州IDC-3B，红点位置却是厦门备用链路的BGP Peer IP，纯属画图同事手滑。

　　优胜劣汰这点，我服气。不是技术淘汰人，是场景筛掉假需求。你看那些喊着要「全自动SQL治理平台」的，上来就堆AI模型分析执行计划——可真上线后，七成告警是“用户在生产库跑SELECT FROM Orders WHERE CreatedDate > '2022-01-01'”，网关加个语法拦截？行，但它挡不住用户切到Management Studio连过去手动跑。后来我们干脆把这类语句的响应头里塞了一行X-SQL-Governance: “已记录；若连续触发三次，下次将返回429”。没人真去查日志，但三个月后同类查询跌了六成。这哪是技术？这是行为驯化。

　　采购流程我也想骂两句。今年Q2我们申请替换SQL Server Web版许可证，财务要我填「替代成本回收周期」，我写了“不确定”，他们驳回。最后改成“预计十二个月”，理由是：按当前日均SQL解析失败次数倒推，省下的DBA救火工时折算成人力成本，再乘以1.7系数（含加班餐补）。但他们没算进去的是——DBA小王上月刚学会用Extended Events捕获wait_info，现在他自己调trace，根本不喊我们网关介入了。这事儿我不确定该高兴还是慌，毕竟网关的价值，有一半是靠别人救不回来才显得高。

　　再说个跑题的：KPI折算。我们组上季度“SQL异常请求拦截率”从89%升到96%，但实际漏掉的七条里，五条是加密列函数运算导致AST解析失败，两条是CLR自定义聚合。这个我说不准——是该让网关支持更厚的T-SQL解析栈，还是该推动后端统一走存储过程抽象层？暂时没答案。但我知道昨天晚上十一点，后端老李发来钉钉消息，只一句：“OrderSearchSP参数校验加了，你们网关那层规则，能不能松两格？” 我回了个“OK”，没截图给他看我正在删的那条正则：^SELECT\\s+\\\\s+FROM\\s+Orders.WHERE\\s+CreateTime.>$。删之前，我多看了眼咖啡杯沿上的豁口，和去年修网关SSL卸载模块时摔的那一次，位置一模一样。

　　下一步？我把第十二坑——也就是SQL Server Agent作业里的xp_cmdshell调用——加进网关白名单灰度开关里了。今晚先放行测试账号，看看有没有人在作业里偷偷调ping。要是真有，我不拦，我让网关返回一行注释：/ 您正在触发网关级安全审计，本次操作已计入月度安全评分 /。至于评分怎么算？等他们来问再说。现在，我要去倒水——饮水机旁贴着张泛黄便签，写着「2023年Q4备件清单（未批）」，字迹是前任网关组长的。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!