Skip to main content
Código
Origen Enlace
Nicolas Oñate
  • 3.3k
  • 2
  • 24
  • 43
  1. Usa el método ToString() para darle el formato universal a la fecha y poderla enviar como string:

    string consulta = "INSERT INTO Cliente (IdCliente, Nombre, PrimerApellido, SegundoApellido, FechaNacimiento, Genero, FechaIngreso) " +
                    "values('"+idCliente+"', '"+nombre+"', '"+primerApellido+"', '"+segundoApellido+"', '"+dateTimePicker_fechaNacimiento.Value.ToString("yyyyMMdd")+"', '"+genero+"', '"+dateTimePicker_fechaIngreso.Value.ToString("yyyyMMdd")+"')";
    
  2. Es una buena práctica usar Parameters en tu query de esta forma puedes especificar el tipo de datos y evitar la inyección SQL.

    string consulta = "INSERT INTO Cliente (IdCliente, Nombre, PrimerApellido, SegundoApellido, FechaNacimiento, Genero, FechaIngreso) " + "values(@idCliente,@nombre,@primerApellido,@segundoApellido,@fechaNacimiento,@genero, @fechaIngreso)";

    ...

    SqlCommand cmd = new SqlCommand(consulta, conexionMaestra.conectar); cmd.Parameters.Add(new SqlParameter("@fechaNacimiento", SqlDbType.DateTime) { Value = dateTimePicker_fechaNacimiento.Value });

    cmd.Parameters.Add(new SqlParameter("@fechaIngreso", SqlDbType.DateTime) { Value = dateTimePicker_fechaIngreso.Value });

    ...

    cmd.ExecuteNonQuery();

    string consulta = @"INSERT INTO Cliente (IdCliente, Nombre, PrimerApellido, SegundoApellido, FechaNacimiento, Genero, FechaIngreso)
                        values(@idCliente,@nombre,@primerApellido,@segundoApellido,@fechaNacimiento,@genero, @fechaIngreso)";
    
    SqlCommand cmd = new SqlCommand(consulta, conexionMaestra.conectar);
    
    cmd.Parameters.Add(new SqlParameter("@fechaNacimiento", SqlDbType.DateTime) { Value = dateTimePicker_fechaNacimiento.Value });
    cmd.Parameters.Add(new SqlParameter("@fechaIngreso", SqlDbType.DateTime) { Value = dateTimePicker_fechaIngreso.Value });
    cmd.ExecuteNonQuery();

¿Cómo evitar inyección de sql en asp.net?

  1. Usa el método ToString() para darle el formato universal a la fecha y poderla enviar como string:

    string consulta = "INSERT INTO Cliente (IdCliente, Nombre, PrimerApellido, SegundoApellido, FechaNacimiento, Genero, FechaIngreso) " +
                    "values('"+idCliente+"', '"+nombre+"', '"+primerApellido+"', '"+segundoApellido+"', '"+dateTimePicker_fechaNacimiento.Value.ToString("yyyyMMdd")+"', '"+genero+"', '"+dateTimePicker_fechaIngreso.Value.ToString("yyyyMMdd")+"')";
    
  2. Es una buena práctica usar Parameters en tu query de esta forma puedes especificar el tipo de datos y evitar la inyección SQL.

    string consulta = "INSERT INTO Cliente (IdCliente, Nombre, PrimerApellido, SegundoApellido, FechaNacimiento, Genero, FechaIngreso) " + "values(@idCliente,@nombre,@primerApellido,@segundoApellido,@fechaNacimiento,@genero, @fechaIngreso)";

    ...

    SqlCommand cmd = new SqlCommand(consulta, conexionMaestra.conectar); cmd.Parameters.Add(new SqlParameter("@fechaNacimiento", SqlDbType.DateTime) { Value = dateTimePicker_fechaNacimiento.Value });

    cmd.Parameters.Add(new SqlParameter("@fechaIngreso", SqlDbType.DateTime) { Value = dateTimePicker_fechaIngreso.Value });

    ...

    cmd.ExecuteNonQuery();

¿Cómo evitar inyección de sql en asp.net?

  1. Usa el método ToString() para darle el formato universal a la fecha y poderla enviar como string:

    string consulta = "INSERT INTO Cliente (IdCliente, Nombre, PrimerApellido, SegundoApellido, FechaNacimiento, Genero, FechaIngreso) " +
                    "values('"+idCliente+"', '"+nombre+"', '"+primerApellido+"', '"+segundoApellido+"', '"+dateTimePicker_fechaNacimiento.Value.ToString("yyyyMMdd")+"', '"+genero+"', '"+dateTimePicker_fechaIngreso.Value.ToString("yyyyMMdd")+"')";
    
  2. Es una buena práctica usar Parameters en tu query de esta forma puedes especificar el tipo de datos y evitar la inyección SQL.

    string consulta = @"INSERT INTO Cliente (IdCliente, Nombre, PrimerApellido, SegundoApellido, FechaNacimiento, Genero, FechaIngreso)
                        values(@idCliente,@nombre,@primerApellido,@segundoApellido,@fechaNacimiento,@genero, @fechaIngreso)";
    
    SqlCommand cmd = new SqlCommand(consulta, conexionMaestra.conectar);
    
    cmd.Parameters.Add(new SqlParameter("@fechaNacimiento", SqlDbType.DateTime) { Value = dateTimePicker_fechaNacimiento.Value });
    cmd.Parameters.Add(new SqlParameter("@fechaIngreso", SqlDbType.DateTime) { Value = dateTimePicker_fechaIngreso.Value });
    cmd.ExecuteNonQuery();

¿Cómo evitar inyección de sql en asp.net?

Origen Enlace
AlejandroMedina
  • 1.1k
  • 2
  • 11
  • 20

  1. Usa el método ToString() para darle el formato universal a la fecha y poderla enviar como string:

    string consulta = "INSERT INTO Cliente (IdCliente, Nombre, PrimerApellido, SegundoApellido, FechaNacimiento, Genero, FechaIngreso) " +
                    "values('"+idCliente+"', '"+nombre+"', '"+primerApellido+"', '"+segundoApellido+"', '"+dateTimePicker_fechaNacimiento.Value.ToString("yyyyMMdd")+"', '"+genero+"', '"+dateTimePicker_fechaIngreso.Value.ToString("yyyyMMdd")+"')";
    
  2. Es una buena práctica usar Parameters en tu query de esta forma puedes especificar el tipo de datos y evitar la inyección SQL.

    string consulta = "INSERT INTO Cliente (IdCliente, Nombre, PrimerApellido, SegundoApellido, FechaNacimiento, Genero, FechaIngreso) " + "values(@idCliente,@nombre,@primerApellido,@segundoApellido,@fechaNacimiento,@genero, @fechaIngreso)";

    ...

    SqlCommand cmd = new SqlCommand(consulta, conexionMaestra.conectar); cmd.Parameters.Add(new SqlParameter("@fechaNacimiento", SqlDbType.DateTime) { Value = dateTimePicker_fechaNacimiento.Value });

    cmd.Parameters.Add(new SqlParameter("@fechaIngreso", SqlDbType.DateTime) { Value = dateTimePicker_fechaIngreso.Value });

    ...

    cmd.ExecuteNonQuery();

¿Cómo evitar inyección de sql en asp.net?