أمان قواعد البيانات وربطها بالتطبيقات

١لماذا نحمي قاعدة البيانات؟

قاعدة البيانات أثمن ما في النظام: أرقام جوالات العملاء، ودرجات الطلاب، والمبالغ المالية. وأشهر ما يهددها:

٢المستخدمون والصلاحيات

في MySQL لكل شخص أو تطبيق حساب (مصادقة Authentication)، ولكل حساب صلاحيات محددة (تفويض Authorization). وتُدار بأوامر عائلة DCL:

-- إنشاء حساب للكاشيرCREATE USER 'cashier'@'localhost' IDENTIFIED BY 'Strong#Pass2025'; -- يقرأ المنتجات فقطGRANT SELECT ON store.products TO 'cashier'@'localhost'; -- ويضيف الطلباتGRANT INSERT ON store.orders TO 'cashier'@'localhost'; -- عرض صلاحياته، ثم سحب واحدةSHOW GRANTS FOR 'cashier'@'localhost';REVOKE INSERT ON store.orders FROM 'cashier'@'localhost';

هذه الأوامر خاصة بخادم MySQL، ولا تعمل في SQLite لأنه ملف واحد بلا مستخدمين. نفّذها في المعمل.

٣العرض View: نافذة على جزء من البيانات

أحيانًا نريد أن يرى قسمٌ بعض الأعمدة فقط. العرض View استعلام محفوظ باسم، يُستخدم كأنه جدول. هنا قسم التسويق يرى أسماء العملاء ومدنهم، دون أرقام الجوالات:

CREATE VIEW customer_cities ASSELECT name, cityFROM customers; SELECT * FROM customer_cities;

في MySQL نمنح التسويق صلاحية على العرض وحده: GRANT SELECT ON store.customer_cities TO 'marketing'، فلا يصل إلى جدول العملاء الأصلي.

٤حقن SQL: أخطر ثغرة

تخيّل موقعًا يبحث عن عميل باسمه، ويبني الاستعلام بلصق ما كتبه الزائر. زائر عادي يكتب «سعود العتيبي». لكن مهاجمًا يكتب في الخانة:

x' OR '1'='1

فيصبح الاستعلام الذي يصل القاعدة:

SELECT name, phone FROM customers WHERE name = 'x' OR '1'='1';

والعلاج: لا تلصق مدخلات المستخدم داخل نص الاستعلام. استخدم الاستعلام ذا المعاملات Parameterized Query: الاستعلام ثابت، والقيمة تُرسل منفصلة فلا تُفهم أبدًا على أنها أوامر:

# ✗ خطير: نلصق ما كتبه المستخدم داخل الاستعلامname = input("اسم العميل: ")sql = "SELECT * FROM customers WHERE name = '" + name + "'"cursor.execute(sql)

# ✓ آمن: الاستعلام ثابت، والقيمة تُمرَّر منفصلةname = input("اسم العميل: ")sql = "SELECT * FROM customers WHERE name = %s"cursor.execute(sql, (name,))

٥النسخ الاحتياطي

النسخة الاحتياطية Backup ملف يحفظ القاعدة كلها لتستعيدها عند الكارثة. في MySQL تُنشأ بأداة mysqldump من سطر الأوامر:

-- (تُكتب في سطر الأوامر لا في محرر SQL)mysqldump -u root -p store > store_backup.sql   -- نسخmysql -u root -p store < store_backup.sql       -- استعادة

• جدولة النسخ يوميًّا، وحفظ النسخ في مكان آخر غير الخادم نفسه.
• تجربة الاستعادة دوريًّا: نسخة لم تُجرَّب استعادتها قد لا تعمل وقت الحاجة.

٦تكامل القاعدة مع التطبيقات

القاعدة لا تعمل وحدها: الموقع وتطبيق الجوال ونظام المحاسبة يتصلون بها. يتصل التطبيق بالخادم بعنوانه، واسم مستخدم خاص به، ثم يرسل الاستعلامات ويستقبل النتائج. هذا تطبيق بايثون يتصل بـ MySQL:

import mysql.connector db = mysql.connector.connect(    host="localhost",    user="shop_app",        # مستخدم خاص بالتطبيق، لا root    password="********",    database="store")cursor = db.cursor()cursor.execute("SELECT name, price FROM products WHERE stock > %s", (0,))for name, price in cursor.fetchall():    print(name, price)

ستبني اتصالًا كهذا بنفسك في مقرر «تقنيات تطوير الواجهات الخلفية».