Thought of Genius

把一大盆水，潑向一塊石頭，石頭並不會有任何反應。但是若把這一大盆水，每天用一滴的量，滴向石頭同一個位置，日子久了之後，水滴落下的這個位置，或多或少出現凹下的痕跡。

我的好友A君，看似每天忙於工作之中。但在上班時，只要有指縫時間，他一定上網找他要的資訊。剛開始他想找些社會脈動，為了將來創業所需。無奈在充斥誘人資訊的網路世界，看八卦，找樂子，下載影音，玩麻將已漸漸取代了他的指縫時間。最後，已把這些耗費時間的舉措，延伸至下班後、假日裡。

日前與他一起用餐的機會中，他聊到自己也不知道想要的究竟是什麼。但是看在我的眼裡，我發現他在還沒學會並具備創造能力時，他已經把自己的時間獻給安逸了。

上班，需要時間。
上網，需要時間。
偷閒，需要時間。
飯局，需要時間。
牌局，需要時間。
撫平情緒，需要時間。
宣洩壓力，需要時間。
看綜藝節目，需要時間。
看新聞八卦，需要時間。
聊是非廢話，需要時間。
一個人靜一靜，還是需要時間。

過去，我一直鼓勵他走出來學習，利用下班時間，跟著我進教室學習。

學習時間管理。
學習待人處世。
學習個人抗壓。
學習危機處理。
學習溝通表達。
學習人際關係。
學習生涯規畫。

就像聲寶集團創辦人陳茂榜先生所說的，人與人之間的差距，不是在白天工作的8個小時，而是晚上7點到10點的時間，我們拿來投資做什麼?

我希望不影響他白天的工作情形之下，讓他也能為自己具備創業家精神與能力。可是他一再躲回自己，每一天，一點點築起來的舒適圈。現在，他還沒找到人生方向，他已經無情地揮霍自己的時間，等到他已經找到自己人生方向的時候呢?他還需要時間準備哩，別人花兩三年準備眼光與能力，也許A君天資聰穎，只需一年半載就可以學會創業本事。

但是，等到他準備好了呢?機會早就已經不再了.....

身旁許多朋友跟A君一樣，把時間一點點建構在低價值的事物上，機會一旦來臨，他們將拿不出東西來跟別人競爭，因為，他們還沒能來得及準備自己的價值。

準備眼光與能力，需要時間的累積，就向滴水穿石，一點一滴或許無法撼動人心，但日子一久，我們將看見成果的累積。

A君一直奢望自己哪天能轟轟烈烈地出人頭地，一點點哲學對他來講似乎很難吸引他聯想未來的成功，殊不知我已再他身上看到一點點哲學的威力。只是，他把一點點哲學用在安逸上。而老師教我們，把一點點哲學，用在學習上。

晚上7點到10點，你拿來做什麼?

快照集 (Snapshot) 是 SQL Server 2005 新增的功能，其功能顧名思義，就是為資料庫拍下目前的『照片』，如果在不同的時間建立快照集，這些快照集便代表資料庫在當時的『樣子』。所以您可以從各時間的快照集中，取得資料庫在某個時間點的內容。
快照集使用的是一種稱為 copy-on-write 的技術，當某資料庫在 A 時間點建立快照集時，SQL Server 會先為該資料庫建立稀疏檔案。假設 A 時間點之後，資料庫某頁的內容將發生第一次更動，SQL Server 便會先將該頁的資料複製一份到稀疏檔案，然後才會將更動的內容寫入該頁。
快照集中扮演重要角色的稀疏檔案是一種特殊的檔案，只能建立於 NTFS 檔案系統，其在檔案總管中看到的大小會等於該資料庫檔案的大小，但是一開始稀疏檔案內容卻是空的，實際上佔用的硬碟空間也很小。隨著更動的資料頁越來越多，稀疏檔案實際使用的磁碟空間也會跟著越來越大，一直到等於資料庫檔案大小為止 (代表所有資料頁都已更動過)。

以下為範例說明：
<br />-- Create database<br />USE master<br />GO<br />IF EXISTS (SELECT name FROM sys.databases WHERE name = 'Lab') DROP DATABASE Lab <br />GO<br />CREATE DATABASE [Lab] ON PRIMARY <br />( NAME = N'Lab', FILENAME = N'C:\Lab.mdf' , SIZE = 3072KB , MAXSIZE = UNLIMITED, FILEGROWTH = 1024KB )<br /> LOG ON <br />( NAME = N'Lab_log', FILENAME = N'C:\Lab_log.ldf' , SIZE = 1024KB , MAXSIZE = 2048GB , FILEGROWTH = 10%)<br />GO<br /><br />-- Create table<br />USE Lab<br />GO<br />IF EXISTS (SELECT * FROM sys.tables WHERE name = 'demo') <br /> DROP TABLE demo<br />GO<br />CREATE TABLE demo (<br /> ID int CONSTRAINT [PK_demo] PRIMARY KEY,<br /> Name nvarchar(5),<br /> GroupID int,<br /> RegTime smalldatetime,<br /> DocDesc nvarchar(12)<br />)<br />GO<br /><br />-- Insert into data<br />DECLARE @GroupID int<br />DECLARE @Name nvarchar(5)<br />DECLARE @DocDesc nvarchar(12)<br /><br />DECLARE @take int<br />DECLARE @str nvarchar(26)<br />DECLARE @startdate smalldatetime<br />DECLARE @i int<br />DECLARE @j int<br />DECLARE @k int<br /><br />SET @str = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ'<br />SET @startdate = '2008-1-1'<br />SET @i = 1<br /><br />WHILE @i <= 10000<br />BEGIN<br /> SELECT @GroupID = RAND()*10 + 1<br /> <br /> SET @j = 1<br /> SET @Name = ''<br /> WHILE @j <= 5<br /> BEGIN<br /> SELECT @take = RAND()*100<br /> IF @take <= 25<br /> BEGIN<br /> SET @Name = @Name + SUBSTRING(@str,@Take+1,1)<br /> SET @j = @j + 1<br /> END<br /> END<br /> <br /> SET @k = 1<br /> SET @DocDesc = '' <br /> WHILE @k <= 12<br /> BEGIN<br /> SELECT @take = RAND()*100<br /> IF @take <= 25<br /> BEGIN<br /> SET @DocDesc = @DocDesc + SUBSTRING(@str,@Take+1,1)<br /> SET @k = @k + 1<br /> END<br /> END<br /> <br /> INSERT INTO demo<br /> SELECT @i, @Name, @GroupID, DATEADD(DAY,RAND()*DATEDIFF(DAY,@startdate,GETDATE()),@startdate), @DocDesc<br /> SET @i = @i + 1<br />END<br />GO<br /><br />-- Create snapshot<br />USE master<br />GO<br />CREATE DATABASE Lab_DBsnap ON (<br />NAME = lab, FILENAME = 'C:\Lab_DBsnap.mdf')<br />AS SNAPSHOT OF Lab<br />GO<br /><br />-- Query database and snapshot<br />SELECT * FROM Lab.dbo.demo<br />SELECT * FROM Lab_DBsnap.dbo.demo<br />GO<br /><br />-- Artificial mistake occurrence<br />UPDATE Lab.dbo.demo SET Name = 'XXXXX'<br />SELECT * FROM Lab.dbo.demo<br />GO<br /><br />-- Recover Data <br />-- Methond 1<br />TRUNCATE TABLE Lab.dbo.demo<br />INSERT INTO Lab.dbo.demo SELECT * FROM Lab_DBsnap.dbo.demo<br />SELECT * FROM Lab.dbo.demo<br />GO<br />-- Methond 2<br />RESTORE DATABASE Lab<br />FROM DATABASE_SNAPSHOT = 'Lab_DBsnap'<br />SELECT * FROM Lab.dbo.demo<br />GO<br /><br />-- Drop database and snapshot<br />DROP Database Lab_DBsnap<br />DROP Database Lab<br /><br /><br />

假設我們已經建立一個預存程序如下(四個輸入參數、一個輸出參數，執行查詢，並回傳查詢筆數)：
<br />-- Create store procedure<br />CREATE PROCEDURE usp_ComplexQuery<br /> @CustomerID nchar(5),<br /> @CompanyName nvarchar(40),<br /> @City nvarchar (15),<br /> @Country nvarchar(15),<br /> @STR nvarchar(1024) OUTPUT<br />AS<br /> /*.....procedure content.....*/<br /> SELECT * FROM Customers<br /> RETURN @@rowcount<br />GO<br />
我們可以撰寫下列程式碼來執行預存程序並處理參數：
<br />public class NorthwindAdapter {<br /> private SqlConnection m_Connection = new SqlConnection(Properties.Settings.Default.NorthwindConStr);<br /> private string _SqlStr;<br /> private int _ReturnValue;<br /><br /> public string SqlStr {<br /> get { return this._SqlStr; }<br /> set { this._SqlStr = value; }<br /> }<br /> public int ReturnValue {<br /> get { return this._ReturnValue; }<br /> set { this._ReturnValue = value; }<br /> }<br /><br /> public DataTable usp_ComplexQuery(string customerid, string customername, string city, string country) {<br /> string cmdstr = @"usp_ComplexQuery";<br /> using (SqlDataAdapter da = new SqlDataAdapter(cmdstr, m_Connection)) {<br /> da.SelectCommand.CommandType = CommandType.StoredProcedure;<br /> da.SelectCommand.Parameters.Add("@CustomerID", SqlDbType.NChar, 5).Value = customerid;<br /> da.SelectCommand.Parameters.Add("@CompanyName", SqlDbType.NVarChar, 40).Value = customername;<br /> da.SelectCommand.Parameters.Add("@City", SqlDbType.NVarChar, 15).Value = city;<br /> da.SelectCommand.Parameters.Add("@Country", SqlDbType.NVarChar, 15).Value = country;<br /> da.SelectCommand.Parameters.Add("@STR", SqlDbType.NVarChar, 1024).Direction = ParameterDirection.Output;<br /> da.SelectCommand.Parameters.Add("@ReturnValue", SqlDbType.Int).Direction = ParameterDirection.ReturnValue;<br /> DataTable dt = new DataTable();<br /> da.Fill(dt);<br /> this.SqlStr = da.SelectCommand.Parameters["@STR"].Value.ToString();<br /> this.ReturnValue = Convert.ToInt32(da.SelectCommand.Parameters["@ReturnValue"].Value);<br /> return dt;<br /> }<br /> }<br />}<br />

許多專案主導者都會要求程式設計師不要在程式中組裝 SQL 語句，而改用 Stored Procedure，並使用 Parameter 來傳遞參數。但是這樣就真的能夠對 SQL Injection 完全免疫了嗎? 其實不然，SQL Injection 是由組裝式 SQL 語句而引發的，得注意有任何有【組裝式 SQL】發生的程式碼，當然也包含了 Stored Procedure。
假設今天我們有一個需求，是需要組合多個條件的查詢，我們應該在預存程序裡面再使用一次傳遞參數方式，來避免有任何的組裝式 SQL 的程式碼。

<br />Use Northwind<br />GO<br /><br />-- If store procedure exists, drop store procedure<br />IF (EXISTS (SELECT * FROM sys.procedures WHERE name = N'usp_ComplexQuery')) DROP PROCEDURE usp_ComplexQuery<br />GO<br /><br />-- Create store procedure<br />CREATE PROCEDURE usp_ComplexQuery<br /> @CustomerID nchar(5),<br /> @CompanyName nvarchar(40),<br /> @City nvarchar (15),<br /> @Country nvarchar(15),<br /> @STR nvarchar(1024) OUTPUT<br />AS<br /> DECLARE @WK nvarchar(512)<br /> SET @STR = 'SELECT * FROM Customers'<br /> SET @WK = ''<br /> <br /> IF not (@CustomerID is null or @CustomerID ='')<br /> BEGIN<br /> SET @WK = @WK + ' CustomerID = @pCustomerID and '<br /> END<br /> <br /> IF not (@CompanyName is null or @CompanyName = '')<br /> BEGIN<br /> SET @WK = @WK + ' CompanyName like @pCompanyName and '<br /> SET @CompanyName = '%' + @CompanyName + '%'<br /> END<br /> <br /> IF not (@City is null or @City = '')<br /> BEGIN<br /> SET @WK = @WK + ' City like @pCity and '<br /> SET @City = '%' + @City + '%'<br /> END<br /> <br /> IF not (@Country is null or @Country = '')<br /> BEGIN<br /> SET @WK = @WK + ' Country like @pCountry and '<br /> SET @Country = '%' + @Country + '%'<br /> END<br /> <br /> IF LEN(@STR) > 0<br /> BEGIN<br /> IF LEN(@WK) > 0<br /> BEGIN<br /> SET @STR = @STR + ' WHERE ' + SUBSTRING(@WK,0,LEN(@WK)-3)<br /> EXEC sp_executesql @STR,<br /> N'@pCustomerID nchar(5),@pCompanyName nvarchar(40),@pCity nvarchar (15),@pCountry nvarchar(15)',<br /> @pCustomerID=@CustomerID,@pCompanyName=@CompanyName,@pCity=@City,@pCountry=@Country<br /> END<br /> ELSE<br /> BEGIN<br /> EXEC sp_executesql @STR<br /> END<br /> END<br /> RETURN @@rowcount<br />GO<br /><br />-- Execute procedure<br />DECLARE @return_value int, @STR nvarchar(1024)<br />EXEC @return_value = [dbo].[usp_ComplexQuery]<br /> @CustomerID = NULL,<br /> @CompanyName = NULL,<br /> @City = NULL,<br /> @Country = NULL,<br /> @STR = @STR OUTPUT<br />SELECT 'Return Value' = @return_value, @STR as N'@STR'<br />GO<br />