数据库是什么？

当你登录一个网站时，网站需要在几百万个账号中找到你的账号，核对密码并加载你的设置，而这一切都要在几毫秒内完成。它不会打开一个文本文件逐行读取，而是向数据库发送 SELECT * FROM users WHERE email = 'ana@example.com' 这样的请求，数据库借助索引直接跳到正确的那一行，就像书末的索引一样。

数据库是如何工作的

两个部分协同工作。数据库是数据本身，按照固定的结构组织。数据库管理系统（DBMS）是把这些数据存进文件、保证数据一致并响应请求的程序。PostgreSQL、MySQL 和 SQLite 都是 DBMS；而你的客户名单就是数据库。

在关系型数据库中，数据存放在表里。每张表有列（姓名、国家、积分）和行（每个用户一行）。一个请求会经过以下步骤：

1. 你的程序发送一条查询，通常用 SQL（结构化查询语言）编写。
2. DBMS 解析这条查询，并规划如何作答：需要读取哪些表，能否借助索引跳过大部分行。
3. 它以固定大小的页从磁盘读取数据（SQLite 默认每页 4,096 字节，PostgreSQL 为 8 KB），并把常用的页保留在内存中。
4. 它对行进行筛选、排序和合并，然后返回结果。

Python 自带 SQLite，所以你可以直接在这里运行一个真正的数据库：

import sqlite3

db = sqlite3.connect(":memory:")   # a database that lives in RAM
db.execute("CREATE TABLE users (id INTEGER PRIMARY KEY, name TEXT, country TEXT, points INTEGER)")

rows = [("Ana", "BR", 120), ("Kenji", "JP", 340), ("Lea", "DE", 90), ("Omar", "EG", 340)]
db.executemany("INSERT INTO users (name, country, points) VALUES (?, ?, ?)", rows)

# Ask a question in SQL: who has more than 100 points, highest first?
query = "SELECT name, points FROM users WHERE points > 100 ORDER BY points DESC, name"
for name, points in db.execute(query):
    print(name, points)

total = db.execute("SELECT COUNT(*), AVG(points) FROM users").fetchone()
print("users:", total[0], "average points:", total[1])

Kenji 340
Omar 340
Ana 120
users: 4 average points: 222.5

程序从来没有说明要怎么搜索。它只描述想要的结果，由 DBMS 决定如何得到它。这就是查询数据库和对列表写循环之间最主要的区别。

数据库的类型

所有非关系型的数据库常被统称为 NoSQL。关系型数据库仍然是大多数应用的默认选择，因为表、约束和 SQL 能很好地解决各种各样的问题。很多产品还会把不同类型结合起来：PostgreSQL 可以存储 JSON 文档，pgvector 又为它加上了向量搜索。

事务：要么全部成功，要么全部不做

把钱从 Ana 转给 Ben 需要两处修改：给 Ben 加钱，从 Ana 扣钱。如果程序在两步之间崩溃，钱就会凭空多出来。事务把多处修改打包在一起，要么全部保存，要么一个都不保存。在下面的例子中，第二处修改违反了一条规则（余额不能低于零），所以数据库把第一处修改也撤销了：

import sqlite3

db = sqlite3.connect(":memory:")
db.execute("CREATE TABLE accounts (name TEXT PRIMARY KEY, balance INTEGER CHECK (balance >= 0))")
db.executemany("INSERT INTO accounts VALUES (?, ?)", [("ana", 50), ("ben", 0)])
db.commit()

def transfer(amount):
    try:
        with db:  # one transaction: commit on success, roll back on error
            db.execute("UPDATE accounts SET balance = balance + ? WHERE name = 'ben'", (amount,))
            db.execute("UPDATE accounts SET balance = balance - ? WHERE name = 'ana'", (amount,))
        print("transfer", amount, "done")
    except sqlite3.IntegrityError as err:
        print("transfer", amount, "failed:", err)
    print(dict(db.execute("SELECT name, balance FROM accounts")))

transfer(30)
transfer(40)

transfer 30 done
{'ana': 20, 'ben': 30}
transfer 40 failed: CHECK constraint failed: balance >= 0
{'ana': 20, 'ben': 30}

给 Ben 加上的 40 又被收了回去，所以总数仍然对得上。关系型数据库为事务承诺了四个特性，合称 ACID：原子性（要么全做，要么全不做）、一致性（CHECK 之类的规则始终成立）、隔离性（两个用户同时执行事务时，看不到对方做到一半的修改）和持久性（修改一旦保存，即使崩溃或断电也不会丢失）。

数据库、电子表格和文件的区别

电子表格很适合一个人查看几千行数据。一旦有多个程序或用户同时写入数据，或者数据必须遵守规则，数据库才是合适的工具。

数据库如何保护数据

DBMS 在改动数据文件之前，会先把每一处修改写入日志（预写式日志），所以崩溃之后可以重放或撤销未完成的工作。PostgreSQL 可以为每个 8 KB 的页存储一个校验和，当故障硬盘返回损坏的数据时报告校验失败。用户和权限决定谁可以读取或修改哪些表，复制机制则在其他服务器上保留数据副本。程序还必须以参数的形式传入用户输入，就像上面的 ? 占位符那样，绝不能把它直接拼接进 SQL 文本，否则就会遭到 SQL 注入攻击。

常见误解

• “SQL 就是数据库。” SQL 是一种语言。PostgreSQL、MySQL 和 SQLite 是能理解这种语言的数据库。
• “NoSQL 就是完全不用 SQL。” 这个词通常被理解为“不仅仅是 SQL”，而且有几种 NoSQL 数据库的查询语言看起来很像 SQL，比如 Cassandra 的 CQL。
• “数据库一定是一台大服务器。” SQLite 只是一个文件，程序直接打开它即可，根本不需要服务器。每部 Android 和 iOS 手机里都运行着它。
• “数据放进数据库就永远安全了。” 数据库能防范崩溃，却防不了有人误执行 DELETE。备份仍然必不可少。

下一步学什么

SQL 课程从第一条 SELECT 开始教你写查询。SQLite 文档介绍了接下来的内容：SQLite 是什么、创建表、索引以及防止 SQL 注入。想了解数据在磁盘上是如何排布的，可以阅读字节是什么；校验和则解释了如何发现损坏的页。