CN113127520B - 一种基于代理模式的分布式数据库sql审核拦截方法及装置 - Google Patents

Abstract

本发明公开了一种基于代理模式的分布式数据库SQL审核拦截方法及装置，包括审核代理单元，语句审核判断单元，代理语句拦截单元，和代理语句透传单元等，将上述单元进行产品融合，最终实现用户可以通过常用数据库客户端执行分布式数据库操作时，保证不符合审核规范的语句无法在目标数据库执行，并按照数据库协议反馈违规内容。若符合规范则不拦截，代理节点将透传语句至目标分布式数据库，并反馈客户端其语句执行结果，整个过程对使用者来说是透明的。本次发明“零”嵌入、自动化运维，可极大的提升用户使用便捷性，提高软件项目SQL语句审核效率，并从根本上限制用户无法在目标数据库执行违规语句，从而保障分布式数据库的安全、稳定运行。

Description

一种基于代理模式的分布式数据库SQL审核拦截方法及装置

技术领域

本发明涉及数据库技术领域，具体为一种基于代理模式的分布式数据库SQL审核拦截方法及装置。

背景技术

随着企业推进数字化转型，越来越多企业由传统架构转向分布式云化架构，针对规模化多节点的分布式数据库的接入，不规范的数据库操作容易导致操作错误、事务响应超时、数据库故障等问题，直接影响整个应用的可用性。为了减少上述不良影响，在SQL语句在分布式数据库执行之前，需对SQL语句的规范性进行审核，对执行效率不佳或者不规范的语句及时进行拦截。目前常见的数据库审核SQL技术是一种基于工单、自定义执行命令、和自定义程序接口的审核模式，且主要是针对非分布式数据库的，一方面，该技术模式比较适合对数据库少量的操作，当遇到大批量、频繁的数据操作时，就会暴露其操作可用性短版，无法满足高频繁交互的场景需求，并且自定义交互模式，导致用户需要频繁切换或无法使用常用的数据库客户端；另一方面，基于原有审核模式，效率低，以最常用的inception为例，其每一条语句都需要建立一次审核短连接，提高了数据库连接开销，从而影响了数据库审核效率。

发明内容

本发明的目的在于提供一种基于代理模式的分布式数据库SQL审核拦截方法及装置，以解决上述背景技术中提出的问题。

为实现上述目的，本发明提供如下技术方案：一种基于代理模式的分布式数据库SQL审核拦截装置,包括审核代理单元、语句审核判断单元、代理语句拦截单元、和代理语句透传单元，具体是指用户使用数据库客户端执行语句，通过审核代理单元接受客户端发送的数据库操作请求并进行解析，通过语句审核判断单元对代理单元获的得用户和SQL语句后对其进行审核判断，语句审核判断单元随着审核结果的判断，若不符合审核规范则接入代理语句拦截单元对客户端请求进行拦截，反馈违反的审核规范内容；若符合审核规范则接入代理透传单元，将客户端请求透传至目标分布式数据库，反馈客户端语句执行结果。

优选的，还包括代理节点配置管理单元，代理节点配置管理单元包括审核端口管理、审核用户管理、目标分布式数据库地址和端口、业务相关属性等；然后针对不同间的审核代理节点通过审核服务端进行审核规则配置管理，构建审核规则管理单元，审核代理节点通过监听服务端审核规则配置信息变化，对节点内配置信息进行同步；审核规则涵盖语句模型规范、语句性能限制，审核服务端其主要包括：审核代理配置管理单元、审核规则管理管理、审核记录单元；审核记录单元主要为用户提供审核记录快速检索和统计分析功能。

优选的，还包括审核规则管理单元，审核规则管理单元对应的规则对客户端操作的语句进行审核判断功能，构建审核判断单元，审核判断单元主要为审核代理节点提供能力，并主要针对兼容MySQL协议的分布式数据库，审核判断单元主要依托数据库代理端单元接受数据库客户端待执行的语句；并通过网络协议解析单元对所述待执行的语句进行解析和审核；若所述待执行语句符合规范，则透传语句至目标数据库并反馈查询结果至数据库客户端；若所述待执行语句不符合规范，则拦截所述待执行语句并反馈语句违规内容至数据库客户端，审核代理节点通过代理连接池和审核连接池提高代理审核能力。

优选的，审核判断单元将审核结果通过审核结果单元发送单元进行采集上报，将审核判断单元审核过的审核语句结果通过消息队里单元，基于消息中间件kafka接收存储，并基于流计算和多线程批量汇聚至集中全文检索数据库，构建统一存储及分析单元；存储及分析单元主要为审核结果单元服务，根据条件从存储及分析单元中查询出符合的结果集。

优选的，一种基于代理模式的分布式数据库SQL审核拦截装置的拦截方法，其特征在于：包括以下步骤：

S301、客户端连接单元是指客户端连接审核代理节点的一种方法，代理节点是基于Netty技术框架开发的一个高性能、异步事件驱动的NIO服务。用户能使用数据库常用客户端连接代理节点，并执行数据库相关操作；

S302、代理端接受数据库请求单元：该单元是构建了可扩缩容的代理节点集群服务，接收客户端发送的数据库操作请求；

S303、解析协议单元通过审核代理节点通基于零拷贝”技术复制数据库传输协议并基于数据库网络协议规则对其进行解析；

S304、获取用户名和SQL语句单元：该单元是通过审核代理节点基于数据库网络通讯交互协议来判断协议类型。协议类型为用户登录协议则获取执行用户名称；协议类型为退出或关闭协议则获取关闭用户；协议类型为语句执行协议则获取执行SQL语句；协议类型为数据库切换协议则获取语句执行数据库库名；其他协议则忽略，不处理；

S305、判断用户是否属于黑名单用户单元：该单元是根据审核逻辑，判断用户是否属于黑名单用户；若是，执行S311和S313，若否，执行S306；

S306、判断用户是否属于白名单用户单元：该单元是判断用户是否属于白名单用户；若是，执行S310和S311，若否，执行S307；

S307、判断SQL语句是否匹配正则忽略语句单元：该单元是通过正则表达式判断SQL语句是否属于白名单语句，若是，执行S310和S311，若否，执行S308；

S308、判断是否AI审核单元：该单元是判断是否AI审核单元，审核服务端配置AI审核规则，如语句执行次数是否超过10000次则触发审核，若否，执行S316。若是，执行S309；

S309、语句类型解析单元：该单元是基于druid开发的语句分析单元分析SQL语句执行类型和目标数据库类型，SQL语句执行类型有DML语句、DQL语句、DDL语句，针对分布式数据库，如MyCAT+MySQL、中国电信分布式数据库TeleDB，进行特殊规则审核；DML和DQL需进行explain分析其执行计划，分布式数据库使用route2分析，获取语句执行计划的最大扫描行数、是否使用索引、执行情况的描述和说明等信息；

S310、根据规则判断语句单元：该单元是对SQL进行AST抽象语法树分析，获取语句每个组件的含义，如select列表、where子句、排序字段、分组字段等。最终判断执行语句是否符合规范，如语句模型是否符合规范，语句影响性能是否符合规范等等，若符合规范，执行S311，若不符合规范，执行S315；

S311、透传语句单元：该单元是反馈客户端语句执行结果，通过代理节点将语句透传至目标数据库进行执行，并反馈执行结果至客户端，随后执行S312；

S312、审核结果发送单元：该单元是在审核拦截判断结束后，审核节点会将审核结果进行封装，发送至Kafka消息中间件，审核结果包含审核语句、审核状态、执行语句、时间、数据库用户、客户端IP等信息；

S313、审核结果存储及分析单元：该单元是通过批量消费Kafka消息中间审核结果数据，并以异步的形式将审核结果写入全文检索数据库作为最终存储，本单元是为后续的审核展示、审核查询提供数据基础，同时也是为了支持按照基于SQL空格分词为索引的形式进行快速检索；

S314、拒绝客户端连接单元：该单元提供主动端口客户端连接功能，是指若用户属于黑名单用户，则审核代理节点拒绝客户端连接；

S315、客户端报错单元：该单元是在SQL语句不符合审核规范是，按照数据库报错协议，将不符合规范的报错信息反馈至客户端。

与现有技术相比，本发明的有益效果是：

(1)本发明从用户使用便捷性、提高审核性能、功能融合创新三个方面进行优化提升；对比现有技术，本专利可提高用户使用便捷性，极大的简化审核操作。通过代理技术与数据库审核技术相融合的方式，实现数据库常用客户端连接代理节点，同时进行审核功能和查询功能。

(2)减少数据库连接开销，提高审核性能，通过代理连接池和审核连接池实现保持客户端长连接进行SQL审核加数据库操作的功能。

(3)本发明不仅支持高效的代理拦截，而且支持拦截规则自定义配置能力。

(4)本发明支持MySQL+MyCAT、中国电信分布式数据库TeleDB等分布式数据库。

(5)本发明更加侧重系统安全，不获取应用、组件的高级管理员权限，仅需查询权限即可进行审核功能。

(6)本发明无缝对接整个软件实施流程，保证软件项目内部SQL语句按照规范正确执行，实现SQL从事前、事中、事后的全流程审核管控，确保分布式数据库平稳运行。

(7)本发明支持SQL在线执行，审核未通过返回SQL修改建议。

(8)本发明审核分为同步审核和异步审核，同步审核主要针对线上运维，用于规范运维人员的SQL语句执行操纵，线上运维严格按照三级权限划分，只有审核通过的语句才能得到相应结果。运维人员的执行的所有语句，都将录入审核日志，形成审核报告；异步审核主要针对开发、测试环境，针对系统内部SQL，给开发人员提供SQL改进意见。

(9)本发明支持SQL审核统计可视化展现，统计所选时间范围内所有同步审核代理端的SQL语句审核记录。

(10)本发明部署扩容简单，支持容器化部署，使用量增大时，可以秒级扩容。

(11)本发明能够实现对SQL执行效率的预测和智能生成审核规则(如慢SQL执行频次少时不审核，执行频次预测多时形成高危SQL进行智能生成审核规则。

附图说明

图1为本发明结构示意图；

图2为本发明控制原理框图；

图3为本发明流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“上”、“下”、“内”、“外”“前端”、“后端”、“两端”、“一端”、“另一端”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“设置有”、“连接”等，应做广义理解，例如“连接”，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

请参阅图1-3，本发明提供一种技术方案：一种基于代理模式的分布式数据库SQL审核拦截装置,包括审核代理单元D001、语句审核判断单元D002、代理语句拦截单元D003、和代理语句透传单元D004，具体是指用户使用数据库客户端执行语句，通过审核代理单元D001接受客户端发送的数据库操作请求并进行解析，通过语句审核判断单元D002对代理单元获的得用户和SQL语句后对其进行审核判断，语句审核判断单元随着审核结果的判断，若不符合审核规范则接入代理语句拦截单元D003对客户端请求进行拦截，反馈违反的审核规范内容；若符合审核规范则接入代理透传单元D004，将客户端请求透传至目标分布式数据库，反馈客户端语句执行结果。

本发明还包括代理节点配置管理单元C009，代理节点配置管理单元C009包括审核端口管理、审核用户管理、目标分布式数据库地址和端口、业务相关属性等；然后针对不同间的审核代理节点通过审核服务端进行审核规则配置管理，构建审核规则管理单元C008，审核代理节点通过监听服务端审核规则配置信息变化，对节点内配置信息进行同步；审核规则涵盖语句模型规范、语句性能限制，审核服务端其主要包括：审核代理配置管理单元、审核规则管理管理、审核记录单元；审核记录单元主要为用户提供审核记录快速检索和统计分析功能。

本发明还包括审核规则管理单元C008，审核规则管理单元C008对应的规则对客户端操作的语句进行审核判断功能，构建审核判断单元C003，审核判断单元主要为审核代理节点提供能力，并主要针对兼容MySQL协议的分布式数据库，审核判断单元C003主要依托数据库代理端单元接受数据库客户端待执行的语句；并通过网络协议解析单元C002对所述待执行的语句进行解析和审核；若所述待执行语句符合规范，则透传语句至目标数据库并反馈查询结果至数据库客户端；若所述待执行语句不符合规范，则拦截所述待执行语句并反馈语句违规内容至数据库客户端，审核代理节点通过代理连接池和审核连接池提高代理审核能力。

本发明中，审核判断单元将审核结果通过审核结果单元发送单元C004进行采集上报，将审核判断单元审核过的审核语句结果通过消息队里单元C005，基于消息中间件kafka接收存储，并基于流计算和多线程批量汇聚至集中全文检索数据库，构建统一存储及分析单元；存储及分析单元主要为审核结果单元服务，根据条件从存储及分析单元中查询出符合的结果集。

一种基于代理模式的分布式数据库SQL审核拦截装置的拦截方法，其特征在于：包括以下步骤：

S301、客户端连接单元是指客户端连接审核代理节点的一种方法，代理节点是基于Netty技术框架开发的一个高性能、异步事件驱动的NIO服务。用户能使用数据库常用客户端连接代理节点，并执行数据库相关操作；

S302、代理端接受数据库请求单元：该单元是构建了可扩缩容的代理节点集群服务，接收客户端发送的数据库操作请求；

S303、解析协议单元通过审核代理节点通基于零拷贝”技术复制数据库传输协议并基于数据库网络协议规则对其进行解析；

S304、获取用户名和SQL语句单元：该单元是通过审核代理节点基于数据库网络通讯交互协议来判断协议类型。协议类型为用户登录协议则获取执行用户名称；协议类型为退出或关闭协议则获取关闭用户；协议类型为语句执行协议则获取执行SQL语句；协议类型为数据库切换协议则获取语句执行数据库库名；其他协议则忽略，不处理；

S305、判断用户是否属于黑名单用户单元：该单元是根据审核逻辑，判断用户是否属于黑名单用户；若是，执行S311和S313，若否，执行S306；

S306、判断用户是否属于白名单用户单元：该单元是判断用户是否属于白名单用户；若是，执行S310和S311，若否，执行S307；

S307、判断SQL语句是否匹配正则忽略语句单元：该单元是通过正则表达式判断SQL语句是否属于白名单语句，若是，执行S310和S311，若否，执行S308；

S308、判断是否AI审核单元：该单元是判断是否AI审核单元，审核服务端配置AI审核规则，如语句执行次数是否超过10000次则触发审核，若否，执行S316。若是，执行S309；

S309、语句类型解析单元：该单元是基于druid开发的语句分析单元分析SQL语句执行类型和目标数据库类型，SQL语句执行类型有DML语句、DQL语句、DDL语句，针对分布式数据库，如MyCAT+MySQL、中国电信分布式数据库TeleDB，进行特殊规则审核；DML和DQL需进行explain分析其执行计划，分布式数据库使用route2分析，获取语句执行计划的最大扫描行数、是否使用索引、执行情况的描述和说明等信息；

S310、根据规则判断语句单元：该单元是对SQL进行AST抽象语法树分析，获取语句每个组件的含义，如select列表、where子句、排序字段、分组字段等。最终判断执行语句是否符合规范，如语句模型是否符合规范，语句影响性能是否符合规范等等，若符合规范，执行S311，若不符合规范，执行S315；

S311、透传语句单元：该单元是反馈客户端语句执行结果，通过代理节点将语句透传至目标数据库进行执行，并反馈执行结果至客户端，随后执行S312；

S312、审核结果发送单元：该单元是在审核拦截判断结束后，审核节点会将审核结果进行封装，发送至Kafka消息中间件，审核结果包含审核语句、审核状态、执行语句、时间、数据库用户、客户端IP等信息；

S313、审核结果存储及分析单元：该单元是通过批量消费Kafka消息中间审核结果数据，并以异步的形式将审核结果写入全文检索数据库作为最终存储，本单元是为后续的审核展示、审核查询提供数据基础，同时也是为了支持按照基于SQL空格分词为索引的形式进行快速检索；

S314、拒绝客户端连接单元：该单元提供主动端口客户端连接功能，是指若用户属于黑名单用户，则审核代理节点拒绝客户端连接；

S315、客户端报错单元：该单元是在SQL语句不符合审核规范是，按照数据库报错协议，将不符合规范的报错信息反馈至客户端。

其中，SQL语句AI审核，包括如下功能：

1、能够实现对SQL执行效率的预测和智能生成审核规则(如慢SQL执行频次少时不审核，执行频次预测多时形成高危SQL进行智能生成审核规则)。

2、特征嵌入

将模型不可读的TEXT格式转换为可读的数字格式：SQL语句使用tf-idf(词频逆文档频)转化；执行计划使用素数编码转化；统计信息和绑定变量直接并入矩阵。

3、信息压缩+特征提取

4、对SQL的执行时长和频次进行预测

5、使用线性回归对SQL的执行时长和频次进行预测，时长超过阈值设置则不通过，慢SQL执行频次达到一定阀值则进行智能拦截。

第5方面,应用版本升级前后SQL比对：

1、实现对应用升级前后的版本SQL进行比对，找出版本前后差异SQL进行风险预判

1)该功能主要由采集汇聚层、应用能力层、应用管理模块和分布式组件运维管理模块，

2)采集汇聚层通过SQL审核保存的在消息中间件的版本前后SQL进行采集。

3)应用能力层的日志消费程序对消息中间件里的采集数据消费，清洗模块对数据进行清洗，分析模块对数据进行分析，得出版本前后SQL的统计数据。

4)应用管理模块和分布式组件运维管理模块采用流程化管控机制，程序自动对语句进行分析并且分析出版本前后差异SQL和高风险SQL，并给出优化建议。

5)分布式组件运维管理(组件侧)模块对程序的对差异SQL和高风险SQL进行预警

6、对差异SQL和高风险SQL进行优化后，提交给应用管理模块(应用侧)进行处理，应用处理后在应用管理模块对语句进行监控，关闭处理。

本专利可以用于软件建模阶段，数据库建模阶段，由业务DBA使用常用数据库客户端连接SQL审核代理节点执行建模语句，审核规则参照【技术方案-具体实施审核规则】中的DDL相关规则，进行建模语句审核，业务DBA根据违反规则提示，修正建模语句，直至全量负责审核规则后，审核代理端通过代理语句透传单元透传建模至分布式数据库执行。

本专利可以用于软件研发流程中的测试(上线前)阶段，应用程序不再连接分布式数据库，而是通过连接目标分布式数据库的审核代理节点，每次功能测试完成后，通过审核管理端的审核结果单元可以汇总分析得到SQL审核报告和每一条审核结果，主要包括：测试相关信息、审核违规语句占比、人工干预占比、违反规则占比和违规语句TOP10，最终的审核报告可以作为应用上线前的参考条件，保障应用系统代码执行稳定、符合生产执行规范。

本专利可以用于运维阶段运维人员进行生产数据库运维操作，运维人员不再直连生产分布式数据库，而是通过让数据库客户端连接审核代理节点执行运维SQL语句，审核代理节点会审核运维SQL语句，并根据审核结果反馈查询结果或违规信息，保障生产数据库安全稳定。

本专利可以用于生产应急应用上线阶段，应急补丁包通过审核代理节点连接生产分布式数据库，审核代理端基于【技术方案-具体实施审核规则】中的DML、DQL相关规则有效拦截应用的违规操，避免应用应急补丁BUG导致数据或者数据库异常，耗尽生产数据库资源。

综上所述，本发明的有益效果是：

(1)本发明从用户使用便捷性、提高审核性能、功能融合创新三个方面进行优化提升；对比现有技术，本专利可提高用户使用便捷性，极大的简化审核操作。通过代理技术与数据库审核技术相融合的方式，实现数据库常用客户端连接代理节点，同时进行审核功能和查询功能。

(2)减少数据库连接开销，提高审核性能，通过代理连接池和审核连接池实现保持客户端长连接进行SQL审核加数据库操作的功能。

(3)本发明不仅支持高效的代理拦截，而且支持拦截规则自定义配置能力。

(4)本发明支持MySQL+MyCAT、中国电信分布式数据库TeleDB等分布式数据库。

(5)本发明更加侧重系统安全，不获取应用、组件的高级管理员权限，仅需查询权限即可进行审核功能。

(6)本发明无缝对接整个软件实施流程，保证软件项目内部SQL语句按照规范正确执行，实现SQL从事前、事中、事后的全流程审核管控，确保分布式数据库平稳运行。

(7)本发明支持SQL在线执行，审核未通过返回SQL修改建议。

(8)本发明审核分为同步审核和异步审核，同步审核主要针对线上运维，用于规范运维人员的SQL语句执行操纵，线上运维严格按照三级权限划分，只有审核通过的语句才能得到相应结果。运维人员的执行的所有语句，都将录入审核日志，形成审核报告；异步审核主要针对开发、测试环境，针对系统内部SQL，给开发人员提供SQL改进意见。

(9)本发明支持SQL审核统计可视化展现，统计所选时间范围内所有同步审核代理端的SQL语句审核记录。

(10)本发明部署扩容简单，支持容器化部署，使用量增大时，可以秒级扩容。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。

Claims (2)

1.一种基于代理模式的分布式数据库SQL审核拦截装置,其特征在于：包括审核代理单元(D001)、语句审核判断单元(D002)、代理语句拦截单元(D003)、和代理语句透传单元(D004)，具体是指用户使用数据库客户端执行语句，通过审核代理单元(D001)接受客户端发送的数据库操作请求并进行解析，通过语句审核判断单元(D002)对代理单元获的得用户和SQL语句后对其进行审核判断，语句审核判断单元随着审核结果的判断，若不符合审核规范则接入代理语句拦截单元(D003)对客户端请求进行拦截，反馈违反的审核规范内容；若符合审核规范则接入代理透传单元(D004)，将客户端请求透传至目标分布式数据库，反馈客户端语句执行结果；

还包括代理节点配置管理单元(C009)，代理节点配置管理单元(C009)包括审核端口管理、审核用户管理、目标分布式数据库地址和端口、业务相关属性；然后针对不同间的审核代理节点通过审核服务端进行审核规则配置管理，构建审核规则管理单元(C008)，审核代理节点通过监听服务端审核规则配置信息变化，对节点内配置信息进行同步；审核规则涵盖语句模型规范、语句性能限制，审核服务端其包括：审核代理配置管理单元、审核规则管理管理、审核记录单元；审核记录单元为用户提供审核记录快速检索和统计分析功能；

还包括审核规则管理单元(C008)，审核规则管理单元(C008)对应的规则对客户端操作的语句进行审核判断功能，构建审核判断单元(C003)，审核判断单元为审核代理节点提供能力，并针对兼容MySQL协议的分布式数据库，审核判断单元(C003)依托数据库代理端单元接受数据库客户端待执行的语句；并通过网络协议解析单元(C002)对所述待执行的语句进行解析和审核；若所述待执行语句符合规范，则透传语句至目标数据库并反馈查询结果至数据库客户端；若所述待执行语句不符合规范，则拦截所述待执行语句并反馈语句违规内容至数据库客户端，审核代理节点通过代理连接池和审核连接池提高代理审核能力；

审核判断单元将审核结果通过审核结果单元发送单元(C004)进行采集上报，将审核判断单元审核过的审核语句结果通过消息队里单元(C005)，基于消息中间件kafka接收存储，并基于流计算和多线程批量汇聚至集中全文检索数据库，构建统一存储及分析单元；存储及分析单元为审核结果单元服务，根据条件从存储及分析单元中查询出符合的结果集。

2.一种基于代理模式的分布式数据库SQL审核拦截装置的拦截方法，包括以下步骤：

S301、客户端连接单元是指客户端连接审核代理节点的一种方法，代理节点是基于Netty技术框架开发的一个高性能、异步事件驱动的NIO服务，用户能使用数据库常用客户端连接代理节点，并执行数据库相关操作；

S302、代理端接受数据库请求单元：该单元是构建了可扩缩容的代理节点集群服务，接收客户端发送的数据库操作请求；

S303、解析协议单元通过审核代理节点通基于零拷贝技术复制数据库传输协议并基于数据库网络协议规则对其进行解析；

S304、获取用户名和SQL语句单元：该单元是通过审核代理节点基于数据库网络通讯交互协议来判断协议类型，协议类型为用户登录协议则获取执行用户名称；协议类型为退出或关闭协议则获取关闭用户；协议类型为语句执行协议则获取执行SQL语句；协议类型为数据库切换协议则获取语句执行数据库库名；其他协议则忽略，不处理；

S305、判断用户是否属于黑名单用户单元：该单元是根据审核逻辑，判断用户是否属于黑名单用户；若是，执行S311和S313，若否，执行S306；

S306、判断用户是否属于白名单用户单元：该单元是判断用户是否属于白名单用户；若是，执行S310和S311，若否，执行S307；

S307、判断SQL语句是否匹配正则忽略语句单元：该单元是通过正则表达式判断SQL语句是否属于白名单语句，若是，执行S310和S311，若否，执行S308；

S308、判断是否AI审核单元：该单元是判断是否AI审核单元，审核服务端配置AI审核规则，如语句执行次数是否超过10000次则触发审核，若否，执行S316，若是，执行S309；

S309、语句类型解析单元：该单元是基于druid开发的语句分析单元分析SQL语句执行类型和目标数据库类型，SQL语句执行类型有DML语句、DQL语句、DDL语句，针对分布式数据库，进行特殊规则审核；DML和DQL需进行explain分析其执行计划，分布式数据库使用route2分析，获取语句执行计划的最大扫描行数、是否使用索引、执行情况的描述和说明信息；

S310、根据规则判断语句单元：该单元是对SQL进行AST抽象语法树分析，获取语句每个组件的含义，最终判断执行语句是否符合规范，若符合规范，执行S311，若不符合规范，执行S315；

S311、透传语句单元：该单元是反馈客户端语句执行结果，通过代理节点将语句透传至目标数据库进行执行，并反馈执行结果至客户端，随后执行S312；

S312、审核结果发送单元：该单元是在审核拦截判断结束后，审核节点会将审核结果进行封装，发送至Kafka消息中间件，审核结果包含审核语句、审核状态、执行语句、时间、数据库用户、客户端IP信息；

S313、审核结果存储及分析单元：该单元是通过批量消费Kafka消息中间审核结果数据，并以异步的形式将审核结果写入全文检索数据库作为最终存储，本单元是为后续的审核展示、审核查询提供数据基础，同时也是为了支持按照基于SQL空格分词为索引的形式进行快速检索；

S314、拒绝客户端连接单元：该单元提供主动端口客户端连接功能，是指若用户属于黑名单用户，则审核代理节点拒绝客户端连接；

S315、客户端报错单元：该单元是SQL语句不符合审核规范，按照数据库报错协议，将不符合规范的报错信息反馈至客户端。