最近，中國最大的數(shù)據(jù)庫技術(shù)社區(qū)發(fā)起了一項有趣的調(diào)查，“有多少DBA會給數(shù)據(jù)庫打補丁?”，調(diào)查結(jié)果令人擔(dān)憂，同時也折射出Oracle數(shù)據(jù)庫“安全補丁”本身的危害。

　　調(diào)查顯示，從來不打補丁的用戶高達(dá)35.71%,偶爾打一次補丁的用戶為57.14%,這2項的數(shù)據(jù)加起來已經(jīng)超過90%，根據(jù)Oracle補丁發(fā)布周期，每季度打一次補丁的用戶占7.14%。

　　整個調(diào)查情況和國外DBA的情形比較相似，大部分DBA都疏于數(shù)據(jù)庫的補丁的更新，對此可能引發(fā)的安全問題認(rèn)識不足。

　　據(jù)了解，以下2種情況可能會促使用戶及時安裝補丁，一是Oracle官方發(fā)布級別較高、比較嚴(yán)重的安全警告;二是數(shù)據(jù)庫運行已經(jīng)受到未及時安裝補丁的影響，否則，一般的補丁更新信息吸引不了DBA的注意。

　　網(wǎng)友flybuffer在討論貼中說道，如果是內(nèi)網(wǎng)數(shù)據(jù)庫，一般不隨便打補丁，除非確實發(fā)現(xiàn)系統(tǒng)漏洞已經(jīng)影響了數(shù)據(jù)庫的運行，反正我們單位的數(shù)據(jù)庫從來沒打過補丁

　　另外，Oracle補丁本身對生產(chǎn)數(shù)據(jù)庫存在安全威脅也是DBA不愿更新補丁的重要因素，參與調(diào)查的一位DBA 告訴記者，“以前有一次打了補丁，把開發(fā)庫弄的有點小問題，很不爽，還好只是開發(fā)庫。所以，我一般只是在數(shù)據(jù)庫安裝以前，我會打上所有的補丁。一旦投入開發(fā)或者生產(chǎn)運營，就很少再動了。”

　　據(jù)了解，大部分DBA都無法承擔(dān)更新補丁后的繁重測試工作，嚴(yán)格來說，數(shù)據(jù)庫安裝補丁后，要經(jīng)過周密的測試才能上線運營，即便如此，某個產(chǎn)生的潛在問題也有可能不能及時發(fā)現(xiàn)，從而對生產(chǎn)數(shù)據(jù)庫產(chǎn)生較大影響。凡此種種，這些問題所帶來的時間成本，風(fēng)險成本對DBA來說都顯得太大。

　　Oracle的安全補丁的獲取

　　事實上，還有龐大的一群人，他們不打補丁是因為無法正常獲取這些數(shù)據(jù)庫BUG修復(fù)軟件。要知道，用戶必須有Metalink賬號才能下載安全補丁，如果你沒有購買昂貴的服務(wù)，你根本無法獲取這些更新。

　　這是一個奇怪的邏輯，你花錢買了一個有缺陷的產(chǎn)品，如果廠商修補了這個缺陷，你需要再去花錢購買修復(fù)缺陷的方法。

　　據(jù)了解，根據(jù)你的許可協(xié)議和Oracle支持級別，你每年可能需要向Oracle支付上萬美元的技術(shù)支持費用，許多經(jīng)理都誤解了Oracle技術(shù)支持的范圍，Oracle技術(shù)支持究竟包括什么，不包括什么，很多人還沒有弄清楚。

　　Oracle提供了不同范圍的支持，從現(xiàn)場Oracle支持(金牌支持)到稍微差一點的銀牌支持，再到銅牌支持，“金、銀、銅”級別的支持都屬于“金屬”級別支持，都是需要訪問Oracle MetaLink的。

　　MetaLink提供的支持包括三個領(lǐng)域：

　　基本的診斷：幫助解釋錯誤代碼和轉(zhuǎn)儲文件。

　　Bug解決：Oracle軟件工程師一起幫助修復(fù)Bug。

　　補救措施：協(xié)助定位工作區(qū)或打上未知問題的補丁。

　　這個“支持”不包括其它的支持服務(wù)，如打補丁、定制軟件或手把手教初級DBA，當(dāng)然Oracle也不提供遠(yuǎn)程咨詢服務(wù)，如果你需要他們的遠(yuǎn)程咨詢服務(wù)費用每小時不低于500美元，有些專家認(rèn)為Oracle是故意提高咨詢服務(wù)的報價，這樣可以避免有些客戶過分依賴Oracle技術(shù)支持，而不雇傭自己的全職 DBA。

　　更要命的是，許多購買了技術(shù)支持服務(wù)的客戶，對Oracle技術(shù)支持并不滿意，Oracle技術(shù)支持的價值早已經(jīng)在國內(nèi)外廣受質(zhì)疑。因此大量的企業(yè)都丟掉了Oracle廠家技術(shù)支持服務(wù)，更傾向于尋找專家技術(shù)支持，但是，當(dāng)你終止Oracle支持時，就失去了獲得補丁和升級的權(quán)利，一個怪圈就這樣產(chǎn)生了。

　　不知是否有人統(tǒng)計過，全球企業(yè)因其Oracle數(shù)據(jù)庫沒有按時更新補丁所帶來的損失究竟有多少?而這些情況，是否能夠引起Oracle服務(wù)部門的深思?