Programação de banco de dados Python com SQL Express para iniciantes

Python e programação de banco de dados

• Criação e gerenciamento do conteúdo de tabelas, visualizações e outros objetos de banco de dados. Isso inclui os relacionamentos entre tabelas, bem como a configuração de regras de integridade.
• Interação com o banco de dados diretamente via entrada de código SQL.
• Depuração da sintaxe SQL.
• Desfazer (até certo ponto) os danos causados ​​por instruções SQL codificadas incorretamente no aplicativo.

Python e drivers de banco de dados

O que é SQL Express?

• Download do SSMS
• Download do SQL Express

Como configurar o SQL Express para desenvolvimento em Python

NÃO copiando a cadeia de conexão após a instalação

Figura 1 – Obtendo a string de conexão do SQL Express Installer

Observe que, no momento da redação deste artigo, o programa de instalação do SQL Express também inclui um link para fazer download do programa de instalação do SSMS.

Como criar um banco de dados no SQL Express

Figura 2 – Iniciando o SSMS

Ao iniciar o SSMS, é recebido pela seguinte caixa de diálogo:

Figura 3 – Caixa de diálogo de abertura do SSMS

Com a Autenticação do Windows, não há necessidade de inserir credenciais. A Conta de usuário do Windows sob a qual o SQL Express foi instalado tem privilégios administrativos para a instância do SQL Express. Basta clicar em Conectar para prosseguir.

No lado esquerdo da Janela do aplicativo SSMS , haverá o Explorador de Objetos . Para criar um novo banco de dados, clique com o botão direito do mouse em Bancos de dados e selecione Criar banco de dados do Contexto cardápio:

Figura 4 – Criando um novo banco de dados – Parte 1 de 2

Clicando em Novo banco de dados… irá abrir uma nova janela de diálogo que permite que os detalhes do novo banco de dados sejam inseridos. Para esta demonstração, o banco de dados será chamado de RazorDemo , como um retorno a um artigo anterior sobre o desenvolvimento de aplicativos baseados em Razor em C#. Digite o nome do banco de dados na caixa de texto ao lado de Nome do banco de dados e clique em OK botão na parte inferior da janela de diálogo. Observe que, na ilustração abaixo, as colunas para o Nome lógico dos arquivos foram ligeiramente alargados para que os Nomes lógicos completos dos arquivos de banco de dados que estão sendo criados foram expostos:

Figura 5 – Criando um novo banco de dados – Parte 2 de 2

O novo banco de dados aparecerá no Object Explorer em Bancos de dados pasta:

Figura 6 – O recém-criado banco de dados “RazorDemo”

Como criar tabelas no SQL Express

Figura 7 – Abrindo uma nova janela de consulta

Uma janela do editor de consulta semelhante à abaixo aparecerá à direita do Explorador de objetos :

Figura 8 – A janela do editor de consultas

O código de criação da tabela é mostrado na listagem abaixo:

use RazorDemo;  # See the Important Note below

create table artists
(rcdid int not null identity primary key,
artist_name varchar(max));

create table albums
(rcdid int not null identity primary key,
artist_id int not null references artists(rcdid) on delete cascade,
album_name varchar(max));
         

Listing 1 - Table Creation SQL Code

Figura 9 – Criação de tabela bem-sucedida

As tabelas recém-criadas e suas colunas podem ser vistas no Object Explorer também. Observe que, às vezes, o Atualizar A opção do menu de contexto que aparece ao clicar com o botão direito do mouse no banco de dados pode precisar ser selecionada para mostrar novos objetos dentro de um banco de dados:

Figura 10 – Atualizando o Pesquisador de Objetos

Figura 11 – As novas tabelas e suas colunas

Neste ponto, o SSMS pode ser fechado com segurança.

Observe que o SSMS também funciona da mesma maneira com qualquer banco de dados SQL Server. É sempre uma prática recomendada salvar todo o código de criação de tabela, independentemente do servidor de banco de dados que está sendo usado. Embora o SQL Server e o SQL permitam a recuperação desses scripts, ambos também permitem o uso de criptografia em tais instruções e, nesses casos, o código não pode ser recuperado.

Python e SQL Express

Abrindo janelas de prompt de comando

Figura 12 – Abrindo um prompt de comando

Um Prompt de Comando típico janela fica assim:

Figura 13 – Um prompt de comando típico

Como instalar o PyODBC

pip3 install pyodbc

Figura 14 – Instalação bem-sucedida do PyODBC

Observe que, se houver várias versões do Python instaladas, por exemplo, Python 2 e Python 3, pode ser necessário prefixar o pip3 command com o caminho completo do Windows para o comando da versão apropriada do Python.

Observe também que se apenas o Python 3 estiver instalado, o pip3 comando ainda deve ser usado sobre o mais genérico pip comando, pois esta é a convenção apropriada.

Escrevendo código Python

# bad-band-name-maker.py
import sys
import random
import pyodbc

part1 = ["The", "Uncooked", "Appealing", "Larger than Life", "Drooping", "Unwell", "Atrocious", "Glossy", "Barrage", "Unlawful"]
part2 = ["Defeated", "Hi-Fi", "Extraterrestrial", "Adumbration", "Limpid", "Looptid", "Cromulent", "Unsettled", "Soot", "Twinkle"]
part3 = ["Brain", "Segment", "Audio", "Legitimate Business", "Mentality", "Sound", "Canticle", "Monsoon", "Preserves", "Hangout"]

part4 = ["Cougar", "Lion", "Lynx", "Ocelot", "Puma", "Jaguar", "Panther"]
part5 = ["Fodder", "Ersatz Goods", "Leftovers", "Infant Formula", "Mush", "Smoothie", "Milkshakes"]


def main(argv):
  # Connect to the RazorDemo database.
  conn = pyodbc.connect("Driver={ODBC Driver 17 for SQL Server};Server=localhost\SQLEXPRESS;Database=RazorDemo;Trusted_Connection=yes;")

  # Generate 15 bad band names:
  for x in range(1, 16):
    rand1 = random.randrange(0, 9)
    rand2 = random.randrange(0, 9)
    rand3 = random.randrange(0, 9)
    badName = part1[rand1] + ' ' + part2[rand2] + ' ' + part3[rand3]
    print ("Band name [" + str(x) + "] is [" + badName + "]")
  
    for y in range(1, 3):
      rand4 = random.randrange(0, len(part4))
      rand5 = random.randrange(0, len(part5))
      albumName = part4[rand4] + " " + part5[rand5]
      print ("\tAlbum [" + albumName + "]")
      
  # Close the Connection
  conn.close()
  return 0

if __name__ == "__main__":
	main(sys.argv[1:])



Listing 2 - Making up some data

Figura 15 – Nomes de banda gerados aleatoriamente

Observe o uso do cd comando para mudar para o diretório onde o código Python é salvo. O PyODBC conectar() falhará se a Conta de usuário do Windows atualmente conectada não está listado como tendo acesso no SQL Express. Isso só é um problema se o banco de dados for criado com uma Conta de usuário do Windows mas o código é executado em uma Conta de usuário do Windows diferente .

A pior maneira de inserir dados em SQL e PyODBC

Figura 16 – A maneira “quase” errada de trabalhar com um banco de dados

O motivo pelo qual usar chamadas para PyODBC para executar INSERTs , SELEÇÕES , e outras funções relacionadas ao banco de dados, como UPDATE ou EXCLUIR , dentro de loops pode ser ruim porque há sobrecarga que vem com cada uma dessas chamadas. Dentro de um loop que poderia iterar centenas de vezes, milhares de vezes ou até mais, isso pode resultar em uma quantidade significativa de tempo (minutos ou mais) para executar um script. Para aplicativos da Web que usam essa abordagem, os problemas de desempenho aumentam ainda mais, pois muitos servidores da Web impõem limites rígidos na quantidade de tempo que um script pode ser executado. Nunca, sob nenhuma circunstância, passe entradas criadas pelo usuário diretamente para um banco de dados. Sempre verifique a entrada para certificar-se de que ela não quebrará a funcionalidade do banco de dados ou causará um problema de segurança por meio de um ataque de injeção de SQL.

O ideal seria usar os loops acima para criar um SQL Batch (uma lista de instruções) e então ter PyODBC executado nesse único lote, mas isso seria uma péssima ideia se os dados não fossem higienizados.

Por que os dados precisam ser higienizados? O motivo se resume à segurança, pois a entrada do usuário nunca pode ser confiável. Sanitizar os dados significa representá-los de uma forma que impeça a execução de qualquer coisa que não seja a instrução SQL criada pelo desenvolvedor do programa. Um usuário pode passar uma string construída de forma maliciosa que permitiria a execução de código SQL criado arbitrariamente. Isso é conhecido como um ataque de injeção de SQL. Embora os valores de dados que entram em um lote possam ser higienizados, o processo para fazer isso está além do escopo de um tutorial introdutório.

PyODBC fornece um mecanismo para proteger o banco de dados contra ataques de injeção de SQL ao limpar as entradas do usuário. Elas envolvem o uso de instruções parametrizadas , também conhecido como declarações preparadas . A segurança deve sempre ser uma prioridade, mesmo que custe a velocidade ou outras métricas de desempenho.

A conta de usuário do Windows que tem acesso a esse banco de dados tem, por padrão, privilégios de sysadmin. Isso significa que, caso ocorra um ataque de injeção de SQL, um usuário mal-intencionado pode obter acesso a todos os dados em todos os bancos de dados do servidor. Na prática, nenhuma conta com privilégios sysadmin deve acessar qualquer banco de dados do código Python.

A listagem abaixo aumenta o primeiro exemplo de código Python usando PyODBC cursores para inserir os dados:

# bad-band-name-maker2.py
import sys
import random
import pyodbc

part1 = ["The", "Uncooked", "Appealing", "Larger than Life", "Drooping", "Unwell", "Atrocious", "Glossy", "Barrage", "Unlawful"]
part2 = ["Defeated", "Hi-Fi", "Extraterrestrial", "Adumbration", "Limpid", "Looptid", "Cromulent", "Unsettled", "Soot", "Twinkle"]
part3 = ["Brain", "Segment", "Audio", "Legitimate Business", "Mentality", "Sound", "Canticle", "Monsoon", "Preserves", "Hangout"]

part4 = ["Cougar", "Lion", "Lynx", "Ocelot", "Puma", "Jaguar", "Panther"]
part5 = ["Fodder", "Ersatz Goods", "Leftovers", "Infant Formula", "Mush", "Smoothie", "Milkshakes"]


def main(argv):
  # Connect to the RazorDemo database.
  conn = pyodbc.connect("Driver={ODBC Driver 17 for SQL Server};Server=localhost\SQLEXPRESS;Database=RazorDemo;Trusted_Connection=yes;")

  # Generate 15 bad band names, and try to keep them unique.
  previousNames = ""
  nameCount = 0
  while (nameCount < 16):
    rand1 = random.randrange(0, 9)
    rand2 = random.randrange(0, 9)
    rand3 = random.randrange(0, 9)
    badName = part1[rand1] + ' ' + part2[rand2] + ' ' + part3[rand3]
    # A crude but effective way of ensuring uniqueness, although there is no unique constraint on the artist name in the database.
    # This prepends and appends bars to both the list of previously used names and the current name. If the current name is
    # new, it will not be in that string.
    if ("|" + previousNames + "|").find("|" + badName + "|") == -1: 
      print ("Band name [" + str(nameCount) + "] is [" + badName + "]")
      sql1 = "insert into artists (artist_name) values (?)"
      values1 = [badName]
      rs1 = conn.cursor()
      rs1.execute(sql1, values1)
      rs1.commit()
      # If the cursor is not closed, then other cursors cannot be executed.
      rs1.close()
      for y in range(1, 3):
        rand4 = random.randrange(0, len(part4))
        rand5 = random.randrange(0, len(part5))
        albumName = part4[rand4] + " " + part5[rand5]
        print ("\tAlbum [" + albumName + "]")
        sql2 = "insert into albums (artist_id, album_name) values ((select top 1 rcdid from artists where artist_name=?), ?)"
        # Each array item here corresponds to the position of the ? in the SQL statement above.
        values2 = [badName, albumName]
        rs2 = conn.cursor ()
        rs2.execute(sql2, values2)
        rs2.commit()
        rs2.close()
      # Creates a bar-delimited list of previously used names.
      if previousNames == "":
        previousNames = badName
      else:
        previousNames = previousNames + "|" + badName
      nameCount = 1 + nameCount
    else:
      print ("Found a duplicate of [" + badName + "]")
  #print (previousNames)
  # Close the Connection
  conn.close()
  return 0

if __name__ == "__main__":
	main(sys.argv[1:])





Listing 3 - Inserting the data

Figura 17 – A inserção bem-sucedida dos dados

Selecionando dados no SQL Express e Python

# bad-band-name-maker3.py
import sys

import pyodbc

def main(argv):
  searchValue = input("Enter something: ")
  # Cap the length at something reasonable. The first 20 characters.
  searchValue = searchValue[0:20]
  # Set the search value to lower case so we can perform case-insensitive matching:
  searchValue = searchValue.lower()
  
  # Connect to the RazorDemo database.
  conn = pyodbc.connect("Driver={ODBC Driver 17 for SQL Server};Server=localhost\SQLEXPRESS;Database=RazorDemo;Trusted_Connection=yes;")

  # You must use a parameterized query here in order to protect from SQL Injection Attacks!
  
  # For the like operator, the percent signs must be separated from the term or else the parameterization will fail.
  
  sql1 = ("select a.artist_name, b.album_name from artists a, albums b where b.artist_id = a.rcdid and " +
    "lower(album_name) like ('%' + ? + '%') order by a.artist_name, b.album_name")
  # Below is an array with one element:
  values1 = [searchValue]
  rs1 = conn.cursor()
  rs1.execute(sql1, values1)
  rows1 = rs1.fetchone()
  #print ("Type is [" + str(type(rows1)) + "]")
  if str(type(rows1)).find("NoneType") == -1:
    while rows1:
      # Columns are indexed by number only. 0 is the a.artist_name column and 1 is the b.album_name columns
      print(rows1[0] + " - " + rows1[1])
      rows1 = rs1.fetchone()
  else:
    print ("No album name matched [" + searchValue + "]")
  # Close the Connection
  conn.close()

  return 0

if __name__ == "__main__":
	main(sys.argv[1:])



Listing 4 - Querying the Data

Considerações finais sobre o desenvolvimento de banco de dados Python