GUI / GitOps / API: 用 Bytebase 实现 SQL 审核

修改数据库中的数据时，确保安全准确至关重要。Bytebase 提供 SQL 审核功能：将 SQL 变更应用到数据库之前，可对其进行评估。SQL 审核可通过 Bytebase GUI、GitOps 工作流或 API 触发。

本教程将使用 Bytebase 的 SQL 审核来改进数据库 Schema 变更流程。使用社区版就足以完成。

可在登录 Bytebase 后，点击头像将语言设置为简体中文。

准备

请确保已安装 Docker。如果本地没有重要的现有 Bytebase 数据，可以通过 rm -rf ~/.bytebase/data 从头开始。

配置

1. 复制并粘贴命令，通过 Docker 启动 Bytebase。‍

docker run --rm --init \
  --name bytebase \
  --publish 8080:8080 --pull always \
  --volume ~/.bytebase/data:/var/opt/bytebase \
  bytebase/bytebase:2.22.1
  
（这里的 2.22.1 可以替换成最新版本）

2. 注册第一个账户，它将自动获得工作区管理员角色。

3. 单击左侧菜单安全与策略 > SQL 审核策略， 可以看见已有的默认 SQL 审核策略。

4. 点击编辑，你将被重定向到 SQL 审核策略编辑页面。在这里，你可以为不同的数据库引擎指定不同的策略。这里示例数据库是 PostgreSQL，所以我们将重点讨论 PostgreSQL 策略。

5. 默认策略是基于 Prod 环境的。也可以点击更改绑定的资源将规则附加到其他环境或项目，或点击更改模版来更改规则。这里按默认示范。

6. 点击更改模板，保留默认 SQL 审核模板。下一步，添加一条规则：强制设置列的默认值，将错误级别设为错误，确认并更新。

方式一：在 Bytebase GUI 中触发 SQL 审核‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

1. 进入 Sample project。默认的 SQL 审核策略是基于 Prod 环境的，所以在 Prod 环境的数据库上创建一个新表。点击左侧菜单中的数据库 > 数据库，选择 hr_prod，然后点击 Schema 变更。

2. 点击新建表。在左侧栏中选择 Prod hr_prod > public > 表。创建带有列 id 和 name 的新表 t1，注意取消选择非空，然后预览工单。

3. SQL 审核会在工单预览前自动运行。可以看到我们是否违反了所定义的规则。选择仍然继续。

4. 重定向到问题页面后，选择创建、仍然继续。问题已创建，但由于存在一些错误，SQL 审核被标为红色。

5. 你可以通过这样修改 SQL 代码来解决问题：

CREATE TABLE "public"."t1" (
   "id" integer NOT NULL DEFAULT 0,
   "name" text NOT NULL DEFAULT ''
);

在这里，你首先需要点击左侧菜单上的设置，然后勾选允许修改语句，否则 SQL 将不可编辑。

方式二：在 GitOps Workflow 中触发 SQL 审核

启动 ngrok‍‍‍‍‍‍‍‍‍‍‍‍‍

ngrok 是一个反向代理隧道；这里我们需要它来获取公共网络地址，以便从 VCS 接收 webhook。如果要用于生产，我们建议使用 Caddy。

1. 在 Docker 中用如下命令运行 Bytebase：‍‍‍‍‍‍

docker run --rm --init \
  --name bytebase \
  --publish 8080:8080 --pull always \
  --volume ~/.bytebase/data:/var/opt/bytebase \
  bytebase/bytebase:2.22.1

2. Bytebase 已在 Docker 中成功运行，你可以通过 localhost:8080 访问它。注册一个管理员账户，它将自动被授予工作区管理员角色。

3. 登录到 ngrok 控制面板并完成入门步骤以进行安装和配置。如果你希望每次启动 ngrok 时使用相同的域，请转到 Cloud Edge > 域，你会在其中找到与你的账户链接的域 <<YOURS>>.ngrok-free.app。

4. 运行 ngrok 命令

ngrok http --domain=<<YOURS>>.ngrok-free.app 8080

以特定的域名（8080）启动 ngrok，你将看到下面显示的输出：

5. 登录 Bytebase 并单击右上角的设置（齿轮图标）。单击工作空间下的通用。在网络部分粘贴 <<YOURS>>.ngrok-free.app 作为外部 URL，然后点击更新。

6. 现在，你就可以通过 <<YOURS>>.ngrok-free.app 访问 Bytebase 了。

配置GitOps‍‍‍

1. 用你的 ngrok 域名访问 Bytebase（不能用 localhost）。‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍点击左侧菜单中的集成 > GitOps，然后按照指令设置 GitHub.com 集成。

• 在你的 GitHub 库中，点击设置 > 开发人员设置 > 个人访问令牌，并生成一个新令牌。选择所有库作为访问的库，并根据 Bytebase 的指令配置令牌权限。
• 回到 Bytebase，粘贴个人访问令牌，确认并添加。

更多细节参考 GitOps 的文档（https://www.bytebase.com/docs/vcs-integration/add-git-provider/）。‍‍‍‍‍‍‍‍‍

2. 在你的 GitHub 账户中创建库 bb-gitops-814，用于提交 SQL 变更。‍‍‍‍‍‍‍‍‍‍‍‍

3. 创建另一个项目 Sample Project GitOps，在数据库 > 数据库点击创建数据库。选择 Prod Sample Instance，命名为 gitops_prod，环境选择 Prod，数据库所有者名称为 bbsample，然后创建。

4. 在项目中，点击集成 > GitOps > 添加仓库。选择 bb-gitops-814 仓库，添加 GitOps 连接器。按照提示的 3 个步骤操作，保留默认设置，点击完成，工作流就设置好了。

5. 返回 GitHub 上的 bb-gitops-814，在 bb-gitops-814/bytebase/ 文件夹下创建文件 202408141500_create_t2.sql，并添加如下的 SQL 命令：‍‍‍‍‍‍‍‍‍‍‍‍‍

   "id" integer NOT NULL PRIMARY KEY,
   "name" text NULL
);

6. 提交变更。创建新分支并提出修改（Propose Changes）、创建 PR（Create Pull Request）。在新的 PR 页面上，你可以看到 SQL 审核注释。‍

7. 按如下方式编辑提交并直接提交到分支，你将发现 SQL 审核注释已更新。

CREATE TABLE "public"."t2" (
   "id" integer NOT NULL DEFAULT 0 PRIMARY KEY,
   "name" text NOT NULL DEFAULT ''
);

8. 在 GitHub 中合并拉取请求，工单会在 Bytebase 中创建并执行。

方式三：在 Bytebase API 中触发 SQL 审核

你可以在内部门户或 GitHub 操作中调用 Bytebase API（详见https://www.bytebase.com/docs/api/sql-review/）来触发 SQL 审核。我们在此不详细介绍，但你可以参考github.com/bytebase里以下示例：

‍🐙 例：API‍

以下示例调用了 Bytebase API 触发包括 SQL 审核在内的 Schema 变更。

🐙 例：GitHub 操作中的 API

以下示例使用 github 自定义操作调用 Bytebase API，以协调 Bytebase 与 GitHub PR 工作流中的 Schema 迁移。

总结

现在，你已学会如何在 Bytebase GUI、GitHub 或通过 API 触发 SQL 审核。更多详情请参阅 Bytebase.com 官网上的 SQL 审核（SQL Review）文档（https://www.bytebase.com/docs/sql-review/overview/）。