0

tengo un programa en c++ que cuando intento insertar la informacion en la base de datos crashea, no entiendo demasiado de punteros, he leido que puede ser por los punteros pero creo que todo esta correcto, os paso codigo:

Ademas si podeis decirme si tengo bien la estructura del INSERT os lo agradeceria mucho ya que cada sitio que miro es distinta y cada vez que la cambio me sale un error distinto que nunca acabo de entender.

Se que el error viene de la SQL porque si ejecuto el programa sin meterme dentro del if que la ejecuta funciona perfecto, asi que el error debe estar en el INSERT.

Tambien he probado quitando el const char *s pero sigue crasheando, creo que es un problema de cuando inserto las varibles.

Muchas gracias de antemano

#include<iostream>
#include<cstring>
#include<locale.h>
#include<math.h>
#include<stdlib.h>
#include<windows.h>
#include<sqlite3.h>

using namespace std;

static int callback(void *NotUsed, int argc, char **argv, char **azColName){
   int i;
   for(i=0; i<argc; i++){
      printf("%s = %s\n", azColName[i], argv[i] ? argv[i] : "NULL");
   }
   printf("\n");
   return 0;
}

int main(const char *s)
{
    int rc;
    char *zErrMsg = 0;
    char *sql;
    char a;
    //Añadimos el español
    char cadena[254];
    setlocale(LC_ALL, "spanish");


//-----------ABRIMOS SQL------------------
    sqlite3 *db;

    if (sqlite3_open("test.db", &db) == SQLITE_OK)
        cout << "Opened db successfully\n";
    else
        cout << "Failed to open db\n";


    cout<<"¿Tienes cuenta creada? (s/n)"<<endl;
    cin>>a;

//---------USUARIOS Y CONTRASEÑAS ---------------------------------------------------------------------------------------------------------------------------------------------------

    switch(a){
        case 's':
            cout<<"funciona la s"<<endl;
            system("pause");
            break;

        case 'n':{
            string f,h;
            cout<<"Nombre de usuario: ";
            cin>>f;
            cout<<"Contraseña: ";
            cin>>h;
            sqlite3* db;

            sql = "INSERT INTO usuarios (usuario, contraseña) VALUES (%s, %s)",(f,h);

            rc = sqlite3_exec(db, sql, callback, 0, &zErrMsg);
            if( rc != SQLITE_OK ){
                cout<<stderr<<"SQL error: %s\n"<<zErrMsg<<endl;
            }else{
                cout<<"conseguido"<<endl;
                system("pause");
            }
            return 0;
        }
        default:
            while (a != 's' && a != 'n'){
                cout<<"s o n"<<endl;
                cin>>a;
            }
        }


}

1 respuesta 1

0
sql = "INSERT INTO usuarios (usuario, contraseña) VALUES (%s, %s)",(f,h);

No se de qué lenguaje has copiado esta instrucción, pero en C++ no es válida.

"INSERT INTO .." es un array de tipo char, es un tipo de dato que no dispone de métodos para realizar el reemplazo de parámetros.

Lo que puedes hacer es usar std::string en vez de char*

std::string sql = "INSERT INTO usuarios (usuario, contraseña) VALUES (" + f + "," + h + ")";

Para usar parámetros ya tendrías que, o bien usar una librería que te provea esa funcionalidad o bien programarla tu mismo.

Así, con C++20 tu código podría quedar así:

std::string insert = "INSERT INTO usuarios (usuario, contraseña) VALUES ({},{})";
std::string query = std::format(insert, f, h);

Con versiones anteriores el código sería algo más engorroso

7
  • Esto no tiene mitigación para SQL injection. Es código inseguro. SQLite3 provee binding (sqlite3_bind_*).
    – D4RIO
    Commented el 22 oct. 2021 a las 12:07
  • 1
    @D4RIO podrías publicar tu propia respuesta. Es como se enriquece este sitio. Yo me he limitado a indicar qué está mal en su código. Si tu tienes una propuesta que consideres que es mejor o simplemente digna de mención, cúrrate una segunda respuesta y así salimos ganando todos
    – eferion
    Commented el 22 oct. 2021 a las 12:17
  • @eferion al usar tu linea de codigo me sale este error al ejecutar el programa: error: cannot convert 'std::__cxx11::string' {aka 'std::__cxx11::basic_string<char>'} to 'const char*'| ¿sabes porque puede ser? y @D4RIO no es un codigo para nada publico, es para el colegio, como soy de los mas avanzados de mi clase me dedico a hacer cosas mas complejas, pero gracias por el aviso ;)
    – Tigre 437
    Commented el 22 oct. 2021 a las 17:41
  • @Tigre437 no puedes usar std:string para llamar a funciones de sqlite. La librería que usas de sqlite espera un char*. Para estos casos, std:string tiene el método c_str
    – eferion
    Commented el 22 oct. 2021 a las 18:00
  • Mi codigo se queda asi entonces?: string sql = "INSERT INTO usuarios (usuario, contraseña) VALUES (" + f + "," + h + ")"; rc = sqlite3_exec(db, sql.c_str(), callback, 0, &zErrMsg); @eferion
    – Tigre 437
    Commented el 22 oct. 2021 a las 19:33

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.