La cuestión es la siguiente:
Tengo un procedimiento que me recibe unos parámetros, los cuales me servirán para filtrar en la tabla al hacer la consulta. Si yo no le mando parámetros, pues me trae todos los registros. Si le mando pues me traerá los resultados correspondientes al filtro.
CREATE PROCEDURE `pbd_consultar_tbl_roles_activos_usados`(
IN `_rau_id` INT (10),
IN `_rau_nombre` VARCHAR (200),
IN `_rau_descripcion` VARCHAR (4000),
IN `_rau_estado` VARCHAR (40),
IN `_inicio` INT (10),
IN `_offset` INT (10),
OUT `_cantidad` INT (10)
)
SELECT rau_id,
rau_nombre,
rau_descripcion,
rau_estado
FROM tbl_roles_activos_usados
WHERE Concat( Ifnull(rau_id,""), " ", Ifnull(rau_nombre,""), " ", Ifnull(rau_descripcion,""), " ", Ifnull(rau_estado,""), " " ) LIKE Concat( '%', Ifnull(_rau_id, ""), Ifnull(_rau_nombre, ""), Ifnull(_rau_descripcion, ""), Ifnull(_rau_estado, ""), '%' )
Los parámetros se los envío a través de la URL de la siguiente forma:
http://localhost:3300/roles-activos-usados/ ----- todos los registros
http://localhost:3300/roles-activos-usados/?rau_id=2&rau_nombre="prueba"... -----Filtro
En mi servidor de NodeJS tengo las siguientes funciones
router.get('/prueba', (req: Request, res: Response) => {
const query = `
call pbd_consultar_tbl_roles_por_agrupador(?, ?, ?, ?, ?, @cantidad)
`
MySQL.QueryRun(query, (err: any, response: object[]) =>{
if (err){
res.status(400).json({
status: false,
message: err
});
}else{
res.json({
status: true,
items: response[0]
})
}
})
})
static QueryRun(query:string, callback: Function){
this.instance.cnn.query(query, (err, results: Object[], fields) =>{
if (err){
console.log('Error en el query')
console.log(err)
return callback(err)
}
if (results.length === 0) {
callback('El registro solicitado no existe')
}else{
callback(null, results)
}
})
}
El resultado de esa consulta es este
{
"status": false,
"message": {
"code": "ER_PARSE_ERROR",
"errno": 1064,
"sqlMessage": "You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '?, ?, ?, ?, ?, @cantidad)' at line 1",
"sqlState": "42000",
"index": 0,
"sql": "\n call pbd_consultar_tbl_roles_por_agrupador(?, ?, ?, ?, ?, @cantidad)\n "
}
}
Si yo modifico el llamado al procedimiento pero le mando null a todos los parámetros
const query = `
call pbd_consultar_tbl_roles_por_agrupador(null, null, null, null, null, @cantidad)
`
{
"status": true,
"items": [
{
"rxa_id": 2,
"rxa_idagrupador": 2,
"rxa_nombrerol": "rolxagrupador1"
},
{
"rxa_id": 3,
"rxa_idagrupador": 2,
"rxa_nombrerol": "rolxagrupador3"
}
]
}
si me funciona. Pero no sé cómo enviarle los de la url
He tratado con un req.query pero pasa esto, si no le envío parámetros
{
"status": false,
"message": {
"code": "ER_PARSE_ERROR",
"errno": 1064,
"sqlMessage": "You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '?, ?, ?, ?, ?, @cantidad)' at line 1",
"sqlState": "42000",
"index": 0,
"sql": "\n call pbd_consultar_tbl_roles_por_agrupador(?, ?, ?, ?, ?, @cantidad)\n "
}
}
Si le doy un console.log al req.query,
{ rau_id: '2', rau_nombre: '"prueba"' }
me devuelve los parámetros pero no sé cómo enviárselos al procedimiento.
?
para evitar el SQL Injection, no le estás pasando los valores a tu consulta. Dependiendo del tipo de conector que estés usando tal vez varía la forma en la que pasas dichos valores. Por lo general se pasan dentro de unarray
. Si fuese éste el caso, debes pasar los valores de tureq.query
a un tipoarray
, lo cual podrías lograr usando:Object.values()
. SaludosMySQL.QueryRun(query, [Object.values(req.query)](err: any, response: object[]) =>{.....
connection.query('CALL GetStudent(?)',[studentId],