전 세계적으로 널리 사용되며, 방대한 문서와 커뮤니티가 있어 학습 및 문제 해결이 용이하다.
트래픽에 따라 확장할 수 있다.
PostgreSQL
Oracle Database
Microsoft SQL Server
SQL(Structured Query Language)
📚 SQL은 관계형 데이터베이스 관리 시스템(RDBMS)에서 데이터를 정의, 조작, 제어, 조회하기 위해 사용되는 표준 프로그래밍 언어이다.
SQL 특징
관계형 데이터베이스와의 상호작용을 표준화하고 효율적으로 수행할 수 있게 해준다.
데이터베이스에서 원하는 정보를 추출하고 분석할 수 있게 해준다.
대부분의 RDBMS(MySQL, PostgreSQL, Oracle 등)가 SQL을 지원한다.
주의! 표준 SQL은 존재하지만, 제품마다 조금씩의 차이(함수명)가 존재한다.
SQL 명령문은 대소문자를 구분하지 않고, 대문자로 사용하면 가독성이 향상되어 오타를 방지한다.
SQL 종류
DDL(Data Definition Language)
데이터베이스 구조를 정의하는 데 사용된다.
CREATE
새로운 데이터베이스 및 테이블을 생성한다.
ALTER
기존 데이터베이스 및 테이블 구조를 수정한다.
DROP
데이터베이스 및 테이블을 삭제한다.
DML(Data Manipulation Language)
데이터베이스의 데이터를 조작하는 데 사용된다.
INSERT
데이터를 테이블에 삽입한다.
UPDATE
테이블의 기존 데이터를 수정한다.
DELETE
테이블의 데이터를 삭제한다.
DQL(Data Query Language)
데이터베이스에서 데이터를 검색하는 데 사용된다.
SELECT
데이터를 조회한다. 특정 조건을 추가할 수 있다.
DCL(Data Control Language)
데이터베이스의 권한을 관리하는 데 사용된다.
GRANT
사용자에게 권한을 부여한다.
REVOKE
사용자의 권한을 회수한다.
TCL(Transaction Control Language)
여러 DML 작업을 하나의 논리적 단위로 묶어 트랜잭션으로 처리하는 데 사용된다.
COMMIT
트랜잭션이 성공한 것을 데이터베이스에 알리고 모든 변경 사항을 영구적으로 저장한다.
ROLLBACK
트랜잭션 중 발생한 모든 변경 사항을 취소하고, 데이터베이스를 트랜잭션 시작 시점의 상태로 되돌린다.
JDBC
📚 Java 언어를 사용하여 DB와 상호 작용하기 위한 자바 표준 인터페이스로 데이터베이스 관리 시스템(DBMS)과 통신하여 데이터를 삽입(C), 검색(R) , 수정(U) 및 삭제(D)할 수 있게 해준다.
→ 인터페이스는 implements하여 확장할 수 있다.
JDBC 구조
JDBC의 주요 특징
표준 API
대부분의 RDBMS (관계형 데이터베이스 관리 시스템)에 대한 드라이버가 제공되어 여러 종류의 DB 대해 일관된 방식으로 상호 작용할 수 있다.
ex) Database 종류가 바뀌어도 쿼리문이 실행된다. MySQL → ORACLE
데이터베이스 연결
SQL 쿼리 실행
Prepared Statement
결과 집합 처리(Result Set)
데이터베이스로부터 반환된 결과 집합을 처리할 수 있다. ex) 데이터를 조회하고 결과를 Java 객체로 매핑할 수 있다.
트랜잭션 관리
JDBC를 사용하여 데이터베이스 트랜잭션을 시작, 커밋(성공) 또는 롤백(실패)하는 등의 트랜잭션 관리 작업을 수행할 수 있습니다
Statement VS Prepared Statement
📚 Java에서 데이터베이스에 SQL 쿼리를 실행하기 위한 인터페이스이다. 이들은 데이터베이스와의 통신을 통해 쿼리 결과를 반환하거나 데이터 조작을 수행하는 데 사용됩니다.
1. Statement
DB와 연결되어 있는 Connection 객체를 통해 SQL문을 Database에 전달하여 실행하고, 결과를 반환받는 객체
public class StatementExample {
public static void main(String[] args) {
try {
// MySqlDriver 파일을 라이브러리에 추가한다.
// Driver연결
Class.forName("mysql.jdbc.driver.MySqlDriver");
// Database와 연결(계정 접속)
Connection connection = DriverManager.getConnection("jdbc:mysql://localhost/mydatabase", "username", "password");
// Statement 인스턴스 생성
Statement statement = connection.createStatement();
// String SQL Query
String query = "SELECT * FROM MEMBER WHERE NAME = 'wonuk'";
// Query 실행 -> 결과는 ResultSet으로 반환된다.
ResultSet rs = statement.execute(query);
// 결과 처리
while (rs.next()) {
// 결과 처리 로직
}
// 연결을 수동으로 끊어줘야한다.
rs.close();
statement.close();
connection.close();
} catch (SQLException e) {
.printStackTrace();
}
}
}
SQL 쿼리를 직접 문자열로 작성하여 데이터베이스에 보내는 방법이다.
SQL 쿼리는 실행 전에 문자열 형태로 전달되고, 실행 시점에 데이터베이스에 직접 파싱되고 실행.
매번 실행할 때마다 SQL 문을 다시 파싱하므로 성능에 영향을 미칠 수 있고, 보안 취약점을 가질 수 있습니다.
2. Prepared Statement
SQL문을 Complie 단계에서 ? 를 사용하여 preCompile 하여 미리 준비해놓고 Query문을 파라미터 바인딩 후 실행하고 결과를 반환받는다. 미리 준비해놓았다(Pre) 중요!
public class PreparedStatementExample {
public static void main(String[] args) {
try {
// [Mysql.jdbc.driver.MysqlDriver] 파일을 라이브러리에 추가한다.
Class.forName("mysql.jdbc.driver.MysqlDriver");
Connection connection = DriverManager.getConnection("jdbc:mysql://localhost/mydatabase", "username", "password");
String query = "SELECT * FROM employees WHERE department = ?";
PreparedStatement preparedStatement = connection.prepareStatement(query);
// 값을 설정
preparedStatement.setString(1, "HR");//첫번째 물음표에 HR를 대치한다.
ResultSet resultSet = preparedStatement.executeQuery();
while (resultSet.next()) {
// 결과 처리 코드
}
resultSet.close();
preparedStatement.close();
connection.close();
} catch (SQLException e) {
e.printStackTrace();
}
}
}
SQL 쿼리를 미리 컴파일하여 데이터베이스에 전송할 때 값만 바뀌는 형태로 전달한다.
쿼리가 한 번 컴파일되면 여러 번 실행할 수 있으며, 성능이 향상되고 보안 측면에서 더 안전한다.
동적인 입력값을 placeholder?로 대체하고 파라미터 바인딩을 통해 쿼리를 삽인한다. 즉, 사용자 입력을 직접적으로 쿼리에 삽입하지 않는다.
이스케이핑 처리를 지원한다. 말그대로 탈출(Escape), 입력값이 자동으로 쿼리에 안전하게 이스케이핑된다. 이스케이핑은 입력 데이터에서 잠재적인 SQL 쿼리 문자열을 무력화한다.
웹 보안
📚 Web Application은 불특정 다수의 대상에게 서비스를 제공하기 때문에 공격 기법을 이해하고 방어하는 것은 애플리케이션의 보안을 강화하고, 데이터 유출이나 서비스 마비 등의 심각한 피해를 예방하는 데 필수이다.
SQL Injection
악의적인 사용자가 애플리케이션에서입력 데이터를 이용하여 SQL 쿼리를 조작하고 데이터베이스에 무단 접근하거나 데이터를 변조하는 공격이다.
SQL Injection 종류
Error Based SQL Injection
Database에 고의적으로 오류를 발생시켜 에러 응답을 통해 DB 구조를 파악하는 방법.
Union Based SQL Injection
컬럼의 개수와 데이터 형식이 같아야 한다.
DB의 UNION 연산자를 사용하여 쿼리 결과값의 조합을 통해 정보를 조회한다.
Blind Based SQL Injection
Stored Procedure SQL Injection
Time Based SQL Injection
SQL Injection 예시
# 로그인 쿼리
SELECT * FROM MEMBER
WHERE email = 'user_input' AND password = 'user_password';
# 아이디를 입력하는 email에 WONUK or 1=1 #를 입력
SELECT * FROM MEMBER
WHERE email = 'WONUK or 1=1 #' AND password = 'tutor';
# or 1=1로 항상 True가 되고 # 때문에 뒷부분 쿼리가 주석이된다.
# 즉, 항상 로그인이 된다.
SELECT * FROM MEMBER
WHERE email = WONUK or 1=1 # AND password = tutor;
Java 코드 예시
// 로그인
public String login(String id, String password) {
return String query =
"SELECT * FROM MEMBER WHERE ID = " + id
+ "AND PASSWORD = " + password;
}
// 검증
public String login(String id, String password) {
// 매개변수 id, password 가 문제없는지 검증하는 로직 Escape 등
String query =
"SELECT * FROM MEMBER WHERE ID = " + id + "AND PASSWORD = " + password;
return query;
}
해결방법
클라이언트에게 에러 메세지 노출을 차단한다.
입력값을 검증(Validation)한다.
Prepared Statements를 사용한다.
XSS(Cross Site Scription)
악성 스크립트를 웹사이트에 주입하는 Code Injection 기법 중 하나
공격자가 웹 어플리케이션에 보낸 악성 코드가 다른 사용자에게 전달될 때 발생한다.
XSS 종류
Stored XSS
공격자가 취약점이 있는 Web Application에 악성 스크립트를 영구적으로 저장하여 다른 사용자에게 전달하는 방식
ex) 게시판(HTML) 글 작성
<script>alert(document.cookie);</script>
해당 script를 게시글에 삽입하면 HTML로 구성되어 있기 때문에 해당 스크립트가 조회하는 사용자에게 실행된다.
Reflected XSS
외부 링크 페이지로 이동시킨다.
ex) 메일 내 첨부된 링크 클릭 → 가짜 사이트로 연결
DOM based XSS
해결방법
입/출력 값을 검증(Validation)하고 필터링하여 해결한다.
외부 보안관련 라이브러리를 사용한다.
보안 솔루션을 사용한다.
Persistence Framework
📚 애플리케이션에서 데이터를 영구적으로 저장하고 관리하기 위해 데이터베이스와 같은 저장소와의 상호 작용을 단순화하는 소프트웨어 도구이다.
JDBC의 한계
1. 간단한 SQL을 실행하는 경우에도 중복된 코드가 너무 많았다.
public class PreparedStatementExample {
public static void main(String[] args) {
try {
// ojdbc6.jar[oracle.jdbc.driver.OracleDriver] 파일을 라이브러리에 추가한다.
Class.forName("oracle.jdbc.driver.OracleDriver");
// 1. Connection
Connection connection = DriverManager.getConnection("jdbc:mysql://localhost/mydatabase", "username", "password");
String query = "SELECT * FROM employees WHERE department = ?";
// 2. Statement
PreparedStatement preparedStatement = connection.prepareStatement(query);
// 값을 설정
preparedStatement.setString(1, "HR");
// 3. ResultSet
ResultSet resultSet = preparedStatement.executeQuery();
while (resultSet.next()) {
// 결과 처리 코드
}
resultSet.close();
preparedStatement.close();
connection.close();
} catch (SQLException e) {
e.printStackTrace();
}
}
}
Connection, Prepared Statement, ResultSet 등
2. DB에 따라 일관성 없는 정보를 가진 채로 Checked Exception(SQL Exception) 처리를 한다.
Checked Exception인 SQLException은 개발자가 명시적으로 처리해야 한다.
각 DBMS는 고유한 SQL 문법과 오류 코드 체계를 가지고 있다.
JDBC에서 발생하는 SQLException은 이러한 DBMS에 따라 달라질 수 있으며, 예외 메시지나 코드도 DB마다 다를 수 있다. 즉, 모두 그에 맞게 처리해야 한다.
3. Connection과 같은 공유 자원을 제대로 반환하지 않으면 한정된 시스템 자원(CPU, Memory)에 의해 서버가 다운되는 등의 문제가 발생한다.
4. SQL Query를 개발자가 직접 작성한다.
중복 적인 쿼리 및 코드 작성이 필요하다.
대부분의 테이블에 CRUD하는 쿼리가 포함된다.
Persistence Framework의 등장
JDBC 처럼 복잡함이나 번거로움 없이 간단한 작업만으로 Database와 연동되는 시스템
모든 Persistence Framework는 내부적으로 JDBC API를 이용한다.
preparedStatement를 기본적으로 사용한다. → 위에서 JDBC를 설명한 이유.
크게 SQL Mapper, ORM 두가지로 나눌 수 있다.
JDBC, SQL MAPPER, ORM의 공통점
영속성(Persistence) 데이터를 생성한 프로그램의 실행이 종료되더라도 사라지지 않는 데이터의 특성, 영구히 저장되는 특성
SQL Mapper
📚 직접 작성한 SQL 문의 실행 결과와 객체(Object)의 필드를 Mapping하여 데이터를 객체화한다. 대표적인 SQL Mapper로 Spring JDBC Template, MyBatis가 있다.
Spring JDBC Template
Spring Framework에서 제공하는 JDBC 작업을 단순화하고 개선한 유틸리티 클래스
JDBC Template의 장점
간편한 데이터베이스 연결
손수 적었던 Connection 관련 코드들을 yml 혹은 properties 파일에 설정만으로 해결한다.
Prepared Statement를 사용한다.
예외 처리와 리소스 관리
DB Connection을 자동으로 처리하여 리소스 누수를 방지한다.
결과 집합(ResultSet) 처리
데이터를 자바 객체로 변환할 수 있도록 돕는다.
배치 처리 작업을 지원한다.
매일 동일한 시간에 수행되는 쿼리, 주로 통계에 사용된다.
예시코드
// 1. XML OR Gradle에 Spring JDBC 의존성 추가
// 2. application.properties OR application.yml에 데이터베이스 연결 설정
@RestController
public class MemberController {
private final MemberRepository memberRepository;
public MemberController(MemberRepository memberRepository) {
this.memberRepository = memberRepository;
}
@GetMapping("/members")
public List<Member> findById(Long id) {
return memberRepository.findById(id);
}
}
// Member Object
public class Member {
private Long id;
private String name;
private int age;
// Getter and Setter methods
}
// Repository Anotation의 역할에 대해 공부해주세요.
@Repository
public class MemberRepository {
private final JdbcTemplate jdbcTemplate;
public MemberRepository(DataSource dataSource) {
this.jdbcTemplate = new JdbcTemplate(dataSource);
}
// Member 객체로 리턴한다.
public List<Member> findById(Long id) {
String query = "SELECT * FROM MEMBER WHERE id = " + id;
return jdbcTemplate.query(query, (rs, rowNum) -> {
Member member = new Member ();
member.setId(rs.getLong("id"));
member.setName(rs.getString("name"));
member.setAge(rs.getInt("age"));
return member;
});
}
}
테이블마다 비슷한 CRUD SQL, DAO(Data Access Object) 개발이 반복된다. → 코드 중복
테이블 필드가 변경될 시 이와 관련된 모든 DAO의 SQL문, 객체의 필드 등을 수정해야 한다.
코드상으로 SQL과 JDBC API를 분리했지만 논리적으로 강한 의존성을 가지고 있다.
객체와의 관계는 사라지고 DB에 대한 처리에 집중하게 된다. → SQL 의존적인 개발
관계형 DB와 객체지향의 패러다임 불일치
객체지향으로 설계된것을 관계형 DB에 저장하기란 어렵다.
테이블에 저장한 데이터를 다시 객체화 하는것도 어렵다.
// 1. 객체 안의 객체
public class Member {
// 필드들..
private Team team;
} -> ERD?
// 2. 상속 구조
public class Member extends Person {
// 필드들..
} -> ERD?
// 3. extends, implements
public class Member extends Person implements Workable {
// 필드들..
} -> ERD?
use study;
CREATE TABLE student
(
id BIGINT AUTO_INCREMENT PRIMARY KEY COMMENT '학생 식별자',
name VARCHAR(100) COMMENT '이름',
age INT COMMENT '나이',
grade VARCHAR(10) COMMENT '등급'
);
CREATE TABLE major
(
id BIGINT AUTO_INCREMENT PRIMARY KEY COMMENT '전공 식별자',
name VARCHAR(50) NOT NULL COMMENT '이름',
tutor VARCHAR(50) NOT NULL COMMENT '튜터'
);
CREATE TABLE enrollment
(
id BIGINT AUTO_INCREMENT PRIMARY KEY COMMENT '등록 식별자',
student_id BIGINT COMMENT '수강생 식별자',
major_id BIGINT COMMENT '전공 식별자',
FOREIGN KEY (student_id) REFERENCES student(id),
FOREIGN KEY (major_id) REFERENCES major(id)
);
-- ALTER 기존 테이블 수정
ALTER TABLE student ADD COLUMN email VARCHAR(100) NOT NULL;
ALTER TABLE major MODIFY COLUMN name VARCHAR(100);
-- 제약 조건 추가 CONSTRAINT
ALTER TABLE major ADD CONSTRAINT UNIQUE(tutor);
-- student 테이블에 데이터 삽입
INSERT INTO student (name, age, grade, email) VALUES('학생1', 20, 'AAA', 'a@a.com');
INSERT INTO student (name, age, grade, email) VALUES('학생2', 21, 'AA', 'b@b.com');
INSERT INTO student (name, age, grade, email) VALUES('학생3', 22, 'A', 'c@c.com');
INSERT INTO student (name, age, grade, email) VALUES('학생4', 23, 'BBB', 'd@d.com');
INSERT INTO student (name, age, grade, email) VALUES('학생5', 23, 'BB', 'e@e.com');
INSERT INTO student (name, age, grade, email) VALUES('학생6', 23, 'B', 'f@f.com');
-- major 테이블에 데이터 삽입
INSERT INTO major (name, tutor) VALUES('Spring', '황원욱');
INSERT INTO major (name, tutor) VALUES('NodeJS', '김스파');
INSERT INTO major (name, tutor) VALUES('React', '홍정기');
INSERT INTO major (name, tutor) VALUES('Vue', '김르타');
INSERT INTO enrollment (student_id, major_id) VALUES(1, 1);
INSERT INTO enrollment (student_id, major_id) VALUES(2, 2);
SELECT * FROM student;
SELECT * FROM student WHERE id = 1;
SELECT name, age FROM student WHERE id = 2;
-- 학생1 나이를 21로 업데이트
UPDATE student SET age = 21 WHERE name = '학생1';
-- 학생1 이름으로 student 조회
SELECT * FROM student WHERE name = '학생1';
-- 식별자 4번의 student 삭제
DELETE FROM student WHERE id = 4;
-- student 전체 조회
SELECT * FROM student;
-- student 들이 등록한 major와 관련된 정보 조회 (INNER JOIN) 교집합
SELECT s.name, m.name FROM student s JOIN enrollment e ON s.id = e.student_id JOIN major m ON e.major_id = m.id;
-- 모든 student와 그들의 등록된 major 조회 (LEFT JOIN) 부분집합
SELECT s.name, m.name
FROM student s
LEFT JOIN enrollment e ON s.id = e.student_id
LEFT JOIN major m ON e.major_id = m.id;
