2

Estoy aprendiendo en Visual Studio - Visual Basic y con una base de datos SQLite.

En un formulario con 3 combobox logro guardarlos en la base de datos usando

sql = "INSERT INTO actos (parteA, tipo, parteB) "
sql += String.Format("VALUES ('{0}','{1}','{2}')", cboParteA.Text,     cboTipo.Text, cboParteB.Text)

Según leí ese método expone mi base de datos a ataques por inyección de SQL y para evitarlo debo usar Prepared Statement Object pero no me doy cuenta como aplicarlo en mi caso y la documentación en http://www.sqlite.org/c3ref/stmt.html es muy engorrosa.

Debo usar algo del estilo:

this.command.CommandText = "INSERT INTO actos (parteA, tipo, parteB)     VALUES(@param1, @param2, @param3)";
this.command.CommandType = CommandType.Text;
this.command.Parameters.Add(new SQLiteParameter("@param1", cboParteA.Text));
this.command.Parameters.Add(new SQLiteParameter("@param1", cboTipo.Text));
this.command.Parameters.Add(new SQLiteParameter("@param1", cboParteB.Text));
4
  • 2
    No me queda claro cuál es el problema. ¿Aparece algún error? ¿Es un problema de sintaxis en Visual Basic? ¿Es un problema en SQLite? ¿El "estilo" que publicas es tu código real o es un ejemplo genérico copiado de la documentación oficial de SQLite? Revisa esta guía y edita lo necesario de tu pregunta para que expreses el problema real que enfrentas. Decir "no lo entiendo" no aclara nada.
    – toledano
    Commented el 23 jun. 2016 a las 20:07
  • 1
    visual studio es el IDE. Tu pregunta no tiene que ver con el IDE EN ABSOLUTO. En su lugar, coloca el lenguaje de programación en el que trabajas como parte de las etiquetas. Adicional a ello, parece que utilizas C#, de ser así me pregunto por qué revisas la documentación de C cuando C y C# son dos lenguajes completamente distintos.
    – user227
    Commented el 23 jun. 2016 a las 21:43
  • @toledano el problema es claro y conciso: cómo evitar ataques de Inyección SQL en el código. El primer fragmento de código muestra código vulnerable a Inyección SQL y el OP pregunta cómo se puede corregir eso (eso es lo que no entiende).
    – user227
    Commented el 23 jun. 2016 a las 21:44
  • @Luiggi Mendoza Exacto Luiggi, gracias por la aclaración. Soy nuevo en stackoverflow y todavía estoy entendiendo como se plantean las preguntas pero las orientaciones que me dieron me ayudan mucho. Ya se que no debo usar el primer tipo de solución y debo aprender como se resuelve esa grabación en la base de datos por el otro método. Gracias
    – fedeteka
    Commented el 24 jun. 2016 a las 11:50

1 respuesta 1

2

Exacto para evitar la inyeccion de dependencias debes usar parametros, si revisa la doc de la wiki

Inyección SQL

veras que hacia el final comenta como evitar esto en .net

La estructura de tu codigo debrias lucir como esto

using (SQLiteConnection conn = new SQLiteConnection("<connection string>"))  
{  
    conn.Open();  

    string query = "INSERT INTO actos (parteA, tipo, parteB) VALUES(@param1, @param2, @param3)";  
    SQLiteCommand cmd = new SQLiteCommand(query, conn);  
    cmd.Parameters.AddWithValue("@param1", cboParteA.Text);  
    cmd.Parameters.AddWithValue("@param2", cboTipo.Text);
    cmd.Parameters.AddWithValue("@param2", cboParteB.Text);     

    cmd.ExecuteNonQuery();  

}

como veras si la libreria lo permite usa el AddWithValue() es mas simple de asignar

2
  • muchas gracias por la orientación me sirvió mucho. Estoy adaptando el código y solucioné varios problemas pero me da un error indicando "Insuficientes parámetros proveidos al comando". Creo que el lío viene porque no puedo aplicar la línea "SQLiteCommand cmd = new SQLiteCommand(query, conn); " pues me da error y trato de dividirla en dos líneas independientes. Voy a tener que abrir otra pregunta para definir mejor el problema. El enlace es: es.stackoverflow.com/questions/14941/…
    – fedeteka
    Commented el 24 jun. 2016 a las 13:00
  • 1
    Lo que yo te recomendaría es que uses Procedimientos Almacenados desde tu Base de datos y los uses desde tu Vb, eso evita los ataques de Inyeccion Sql además que tu código se ve más ordenado, te dejo un link: goo.gl/9OVrmt Commented el 7 jul. 2016 a las 15:31

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.