1

El otro día un profesor nos comentó que introducir sentencias SQL dentro del código de nuestra aplicación Java era una mala practica.

Actualmente yo lo hago a través de la librería JDBC y escribiendo las sentencias directamente en el código como podéis ver en el ejemplo siguiente.

    String duracion = "14 mn";
    String SQLQuery = "insert into ejemplo(a,b,c,d)"
            + "values(?,?,?,?)";

    try {
        this.abrirConexion();

        PreparedStatement stm=this.getConexion().prepareStatement(SQLQuery);

        stm.setInt(1, 14);
        stm.setInt(2, 45);
        stm.setString(3, "Esto es un ejemplo"); 
        stm.setString(4, duracion);

        stm.executeUpdate();

        this.cerrarConexion();
    } catch (Exception e) {
        e.printStackTrace();
    }
}

La duda es, si es correcto que esto es una mala práctica, cual es la mejor manera de recibir y enviar datos desde una base de datos.

Un saludo.

4
  • Otra opcion es usar hibernate te olvidas de la mayoria de las consultas SQL
    – Cadeq
    el 19 feb. 2019 a las 10:46
  • Otra opción son los Stored Procedure o usar Vistas. En cuanto a si es o no una mala práctica, en general si. Todo va a depender de lo expuesto que esté tu código y el ambiente de uso. Si tu profesor (tutor) te aconseja que no lo hagas, es por un motivo. Hay quien dice que mientras evites el SQL injection todo va bien, sin embargo exponer una consulta en tu código puede dar una idea de la estructura de la base de datos. Ya por allí puedes pensar en un fallo, llámalo de seguridad o de privacidad. Pero es un fallo. el 19 feb. 2019 a las 11:05
  • Aunque esta pregunta está enfocada a PHP, en realidad sirve para todos los lenguajes, te recomiendo leerla el 19 feb. 2019 a las 12:06
  • Muchas gracias a todos por los comentarios. Me han servido de mucha ayuda
    – Cesar Orti
    el 19 feb. 2019 a las 20:33

1 respuesta 1

2

Así está correcto. Estás previniendo las inyecciones SQL con PreparedStatement.

Lo que no es recomendado por seguridad es hacer algo similar a esto:

 String sql = "Insert INTO ejemplo values(a,b,c,d) values(14, 45, Esto es un ejemplo,"+duracion+")";
 conn = //conexion bd
 Statement st = conn.createStatement();
 ResultSet rs = st.executeUpdate(sql);
1
  • Vale, muchas gracias :D
    – Cesar Orti
    el 19 feb. 2019 a las 20:33

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.