SQL Server DBA实战手册：高效运维秘籍

　　去年双十一，守门多年的安全老邵在监控台边啃冷掉的韭菜盒子，油蹭到键盘F7键上，粘手。我原以为SQL Server DBA实战手册：高效运维秘籍就又一本封面烫金、目录写得比备份策略还工整的纸糊玩意儿——结果两个月前真拿它顶着查凌晨三点那场接口被刷的漏子，肉鸡池里八百个IP轮着换UA扫同一张订单表，连sp_who2都快被挤爆了。

　　手册里第十七页那个“EXEC sys.sp_MSforeachtable 'IF OBJECT_ID(''?'') IS NOT NULL AND ''?'' NOT LIKE ''%temp%'' BEGIN PRINT ''?''; DBCC UPDATEUSAGE(0, ''?'', ''?'', 0) WITH NO_INFOMSGS END'”——我抄下来贴在工位玻璃上，边念边敲，念到第二个问号时王工推门进来，胳膊底下夹着刚拆封的WAF策略包，说“老李那边说规则得重写”，我嗯了一声，他鞋跟卡在门槛缝里顿了半秒才拔出来，没等我抬眼，人已经拐进机房去了。那会儿空调外机在楼顶轰得像打桩，震得桌上水杯底儿一圈水渍慢慢扩开。

　　它站得住脚的逻辑是优胜劣汰？不，是淘汰太慢的人。你翻到附录三，“sys.dm_exec_query_stats + last_execution_time”组合拳，不是教你查慢查询——是逼你当场删掉那个三年没更新统计信息、全靠索引提示硬扛的报表作业。我就干了，删完顺手把作业历史清了，清完才发现上个月还有人用sa账号连过从库，密码是admin123，没改过，就搁在开发测试服里当摆设。我盯着屏幕发了十九秒呆，窗台上绿萝叶子垂下来，挡住了一小块“SQL Server Agent Job History”的滚动日志。

　　最绝的是第五章讲死锁排查那节——不是给你看图形化死锁报告截图，是叫你去翻sys.dm_tran_locks里的resource_description字段，自己拼出object_id和index_id，再反向lookup sys.objects.name。那天下午我照着做，敲完三行就卡住，因为resource_description里写着“KEY: 9:72057594044862464 (d1b4f2e83b1a)”，这串十六进制我熟，但下一秒想起上次看到同结构值，是在风控组导出的可疑登录日志里，他们用来标记恶意进程句柄。我停了五秒，顺手打开企业微信搜“d1b4f2e8”，跳出来是前年一个外包同事退群时留的签名：“别信文档，信你自己写的脚本”。这事儿我说不准是不是巧合——但那个外包，后来转去做EDR规则引擎了。

　　弱口令整改？手册里压根没提“整改”俩字。它只在页眉批注写：“DBA的密码策略落地失败，往往源于信任链错位——你管不住应用层传参，也管不住开发机本地SSMS连接字符串里的明文pwd”。上周四我拿着这句话堵风控组长，他听完直接拉开抽屉，掏出一张泛黄的便签纸，上面是他三年前手写的SQL审计清单，第一页第二条用红笔划掉又补了句：“加密存储？不如关掉xp_cmdshell”。那会儿窗外突然炸雷，雨点子噼里啪啦砸在玻璃幕墙上，他抬头看了眼墙角UPS红灯，说“你信这个手册，不如信我桌上这盆发财树最近没死”。

　　WAF误拦真用户？手册第四章最后一页有个脚注，字号小得像蚊子腿：“若WAF因T-SQL注入特征误杀，请检查是否启用了‘参数化查询自动识别’开关——此功能默认关闭，且启用后将绕过所有自定义正则拦截逻辑”。我截图发给安全部，群里静了四十分钟，后来老邵回了个表情包，是《大话西游》里至尊宝捂耳朵说“我不听我不听”。其实他手机屏保就是sqlcmd -S server -U sa -P 123456——我上个月巡检时无意瞥见的，没戳破，反正他连自己邮箱密码都是base64（a2VlcC1zYWZlLXN0YXRl）。

　　数据泄露惊魂那晚，根本不是SQL拖库，是运维同学用SSMS连错了库，把dev环境的delete from dbo.UserLog where CreatedTime < '2023-01-01' 执行到了prod。手册里对此有句话，印在灰底斜体框里：“生产变更永远不该出现在‘已连接’状态下的SSMS查询窗口——而应来自已签名、带审批流水号、执行前强制校验目标实例name的PowerShell脚本”。我们没这个脚本。现在有。是小陈写的，她昨天交PR时顺手给我塞了盒草莓味薄荷糖，锡纸包装有点潮，黏在掌心扯不开。

文章配图，仅供参考

　　说实话，我现在翻手册，重点不看正文，专盯页边空白处的手写批注——有些是铅笔，有些是红笔，有些墨水晕开了，看不出是谁写的，但能看出是不同年份的。上周三凌晨两点，我对着第211页“Always On AG Failover 超时设置陷阱”下面一行蓝墨水小字愣神：“这里写15秒，其实该设17秒。因为心跳包丢一个，再重传，实际耗时是16.8±0.3秒——我敢打包票。”旁边还画了个歪斜箭头，指向下方另一行：“上次切换失败，不是配置问题，是光纤收发器老化导致ACK延迟抖动”。我摸了摸自己后颈那块旧伤疤，突然想起十年前第一次配镜像，也是在这个机柜旁，风扇吹得脖颈发凉。

　　手册我扔在服务器机架最上层——够不着的地方。倒不是为了尊重，是怕谁随手拿去垫显示器，毕竟它厚实、平直、边角没毛刺。昨天保洁阿姨擦机柜，问我这书要不要挪开，我说不用，她就用抹布蘸了点酒精，顺着书脊往下擦，擦到一半停住，指指封底烫金字右下角一道浅浅划痕：“这儿以前刻过字？”我没接话。她擦完走了，拖把桶轮子在环氧地坪上留下两道湿痕，弯弯曲曲往弱电间方向延伸。

　　这东西不解决CC攻击，也不教你怎么骗过SOC审计，它只干一件事：让写SQL的人，先对得起自己敲下去的第一个分号。至于后面的事……你还是得去蹲防火墙日志，还是得扒肉鸡池特征码，还是得听着电话里客服骂“你们数据库又崩了”，一边点头一边把那句“我马上看”咽回去。现在我要下楼买瓶冰啤酒，冷藏柜灯光太亮，照得我手机屏上企业微信未读消息泛蓝光——老邵刚发来一张图：一条新告警，来源IP段和三个月前刷单的肉鸡池，CIDR范围完全重合。他没说话，就甩了张图，附带一个句号。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!