2

Me gustaría pedirle a la sabiduría de este foro que encuentre una solución, soy un programador junior y en mi empresa me han pedido que resuelva los problemas "Blocker" que está dando SonarQube, la mayoría son los mismos que este.

public List<Irregularidad> listadoParcialIrregularidades(int posStart, int count,String orderby, String direccion, String filtro){
                    
    String query = " from " + getPersistentClass().getName();
    
    //Añado el filtro
    if(filtro!=null && !filtro.equals("")){
        query = query + filtro;
    }
                    
    //Añado la ordenación
    if((orderby!=null) && (!orderby.equals("")) && !orderby.equals("null")){
        query = query + " order by " + orderby;
        if(direccion!=null && direccion.equals("asc")){
            query = query + " asc ";
        }else{
            query = query + " desc ";
        }
    }else{
        query = query + " order by idPropuesta desc ";
    }
            
    Query q = getCurrentSession().createQuery(query);
    
    q.setFirstResult(posStart);
    q.setMaxResults(count);         
    
    return (List<Irregularidad>) q.list();
    
}

Sonarqube dice esto:

Use a variable binding mechanism to construct this query instead of concatenation.

1
  • Bienvenido a StackOverflow en español , para que tu pregunta no sea borrada , es mandatario que la traduzcas al idioma de la pagina que es el español o bien hagas la pregunta en la web de ingles. Un saludo!
    – Capt.Teach
    Commented el 22 ago. 2019 a las 9:11

3 respuestas 3

2

Usa StringBuilder o Usa StringFormat en vez de concatenacion:

  • StringBuilder:

    StringBuilder builder = new StringBuilder("from");
    builder.append(getPersistentClass().getName());
    
  • String Format:

    String str = String.format("from %s",getPersistentClass().getName());
    

Variables Binding:

Las variables binding son variables de hibernate que se genera así :variable. Sonar igual esta detectando que estas haciendo una consulta SQL y por eso se queja. Te pongo un ejemplo:

from MyTabla tabla where tabla.nombre = :nombre

Mas adelante debes añadir el parametro.

query.setParameters("nombre", _nombre);

Espero que te ayude. Un Saludo!

5
  • 2
    Creo que el problema no es exactamente ese: Sonar detecta que está creando una query y le avisa del peligro de montarla concatenando: es un potencial vector de SQL injection Commented el 22 ago. 2019 a las 10:03
  • 1
    Un segundo te lo edito Commented el 22 ago. 2019 a las 10:04
  • 1
    Tal y como dice @PabloLozano creo que solo deberías dejar la respuesta de los parámetros y evitar caer en lo de la concatenación no ?
    – Capt.Teach
    Commented el 22 ago. 2019 a las 10:14
  • esta era la solución, muchísimas gracias!
    – KingBear
    Commented el 22 ago. 2019 a las 11:53
  • 1
    Si y no @Capt.Teach . Si por que la solución de las variables binding es la segunda parte, no por que construye su query de una forma que luego Sonar se quejará por usar concatenaciones. Así que es mejor dejarlo así Commented el 22 ago. 2019 a las 16:47
1

El problema es que estas concatenando una Query y eso es un fallo que permite el SQL injection.

Te recomiendo usar parametros. Como en el siguiente ejemplo:

Query query= getCurrentSession()..createQuery("from 
Hypothesis h where h.description = 
:myParam").setString("myParam","stuff works");
0

He desarrollado esto con las instrucciones de Raul, lo siento si he cometido alguna salvajada, solo hace un par de meses que me saque el titulo CFGS y estoy aprendiendo.

public List<Irregularidad> listadoParcialIrregularidades(int posStart, int count,String orderby, String direccion, String filtro){
            StringBuilder builder = new StringBuilder("from");
            builder.append(getPersistentClass().getName());
            //Añado el filtro
            if(filtro!=null && !filtro.equals("")){
                builder.append(filtro);
            }

            //Añado la ordenación
            if((orderby!=null) && (!orderby.equals("")) && !orderby.equals("null")){
                builder.append(" order by ");
                builder.append(orderby);
                if(direccion!=null && direccion.equals("asc")){
                    builder.append(" asc ");
                }else{
                    builder.append(" desc ");
                }
            }else{
                builder.append(" order by idPropuesta desc ");
            }
            Query q = getCurrentSession().createQuery(builder.toString());

            q.setFirstResult(posStart);
            q.setMaxResults(count);         

            return (List<Irregularidad>) q.list();

        }

¿que os parece?

2
  • 1
    Hacer la Query concatenando los string es muy mala idea por el tema de SQL injection, fijate en las respuestas que usan Parametros o busca en google.
    – Capt.Teach
    Commented el 22 ago. 2019 a las 10:55
  • 1
    Bien echo KingBear, pero @Capt.Teach tiene razón a medias, no se deberian dejar meter variables a pelo la parte de filtros deberia ser con parametros no con concatenación. CONSEJO!! En los equals usa las constantes a la izquierda y las variables a la derecha, se que se siente artificial cuando programas al vuelo. Pero luego tu codigo se librará de NullPointersExceptions inecesarios ya que tu constante nunca sera null Commented el 22 ago. 2019 a las 16:52

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.