1

Realizando un análisis al código de mi proyecto me encuentro con la siguiente advertencia

Advertencia 1678 CA2100 : Microsoft.Security : La cadena de consulta pasada a 'SqlCommand.SqlCommand(string, SqlConnection)' en 'Data_Metodos_Cierre.Actualizar_Fecha_Obreros_Produccion_Transaction(DateTime, DateTime)' podría contener las siguientes variables: 'FechaIni.ToShortDateString()'. Si alguna de estas variables puede proceder de datos proporcionados por el usuario, considere el uso de un procedimiento almacenado o una consulta SQL parametrizada en lugar de compilar la consulta con concatenaciones de cadenas.

El código que adjunto a continuación es el que indica la advertencia.

 public void Actualizar_Fecha_Obreros_Produccion_Transaction(DateTime FechaIni,DateTime FechaFin)
    {
        string connstring = ConfigurationManager.ConnectionStrings["Trabajo"].ToString();
        using (SqlConnection connection = new SqlConnection(connstring))
        {
            connection.Open();
            SqlTransaction transaction;
            //Inicia la Transaccion Local.
            transaction = connection.BeginTransaction("InicioTransacción");
            try
            {
                SqlCommand command1 = new SqlCommand("UPDATE [TBL_MOV_PROD] SET [Mov_Fechai] = '" + FechaIni.ToShortDateString() + "'", connection); --> AQUI INDICA LA ADVERTENCIA
                SqlCommand command2 = new SqlCommand("UPDATE [TBL_MOV_PROD] SET [Mov_Fechaf] = '" + FechaFin.ToShortDateString() + "'", connection); --> AQUI INDICA LA ADVERTENCIA

                // Must assign both transaction object and connection 
                // to Command object for a pending local transaction
                command1.Connection = connection;
                command1.Transaction = transaction;
                command2.Connection = connection;
                command2.Transaction = transaction;                 

                command1.CommandType = CommandType.Text;
                command2.CommandType = CommandType.Text;                    

                command1.ExecuteNonQuery();
                command2.ExecuteNonQuery();                    

                // Attempt to commit the transaction.
                transaction.Commit();
                //MessageBox.Show("Proceso de Cierre Terminado Satisfactoriamente", "SISROL", MessageBoxButtons.OK, MessageBoxIcon.Information);
            }
            catch (Exception ex)
            {
                MessageBox.Show("Excepción Tipo Commit " + ex.GetType() + " El Mensaje de Excepción: " + ex.Message, "SISROL", MessageBoxButtons.OK, MessageBoxIcon.Error);
                // Attempt to roll back the transaction. 
                try
                {
                    transaction.Rollback();
                }
                catch (Exception ex2)
                {
                    // This catch block will handle any errors that may have occurred 
                    // on the server that would cause the rollback to fail, such as 
                    // a closed connection.
                    MessageBox.Show("Excepción Tipo Rollback " + ex2.GetType() + " El Mensaje de Excepción: " + ex2.Message, "SISROL", MessageBoxButtons.OK, MessageBoxIcon.Error);
                }
            }
        }
    }

A simple vista no le veo nada erróneo , pero recurro al foro para que me puedan indicar el motivo de esta advertencia.

2 respuestas 2

2

No puedes ni debes de concatenar en tu consulta alguna variable que la cambies a string, es decir con el .ToString() ya que es una vulnerabilidad. Puedes crear una variable donde guardes tu fecha en string y luego concatenarla.

Lo recomendable es ocupar parametros de SQL o generar un Stored Procedure

Te adjunto un ejemplo de como generar consultas con parametros

           da.UpdateCommand = new SqlCommand("UPDATE complain SET Name = @NAME,Email = @EMAIL,Message= @MESSAGE", con);
           da.UpdateCommand.Parameters.Add("@NAME", SqlDbType.NVarChar).Value = nameTextBox.Text;
           da.UpdateCommand.Parameters.Add("@EMAIL", SqlDbType.NVarChar).Value = emailTextBox.Text;
           da.UpdateCommand.Parameters.Add("@MESSAGE", SqlDbType.NVarChar).Value = messageTextBox.Text;

           con.Open();
           da.UpdateCommand.ExecuteNonQuery();
           con.Close();

Fuente del ejemplo: https://www.codeproject.com/Questions/251671/SQL-Database-Update-using-Csharp

1

Tomando en cuenta la respuesta realizada por Guasy , adapte ese código y realice unas modificaciones para que no arroje ningún tipo de advertencia posterior, adjunto como quedaría el código finalmente.

public void Actualizar_Fecha_Obreros_Produccion_Transaction(DateTime FechaIni,DateTime FechaFin)
    {
        string connstring = ConfigurationManager.ConnectionStrings["Trabajo"].ToString();
        SqlCommand command1=null;
        SqlCommand command2=null;
        using (SqlConnection connection = new SqlConnection(connstring))
        {
            connection.Open();
            SqlTransaction transaction;
            //Inicia la Transaccion Local.
            transaction = connection.BeginTransaction("InicioTransacción");
            try
            {
                String FecIni = FechaIni.ToShortDateString();
                String FecFin = FechaFin.ToShortDateString();
                command1 = new SqlCommand("UPDATE [TBL_MOV_PROD] SET [Mov_Fechai] = @Mov_Fechai", connection);
                command1.Parameters.Add("@Mov_Fechai", SqlDbType.NVarChar).Value = FecIni;
                command2 = new SqlCommand("UPDATE [TBL_MOV_PROD] SET [Mov_Fechaf] = @Mov_Fechaf", connection);
                command2.Parameters.Add("@Mov_Fechaf", SqlDbType.NVarChar).Value = FecFin;
                // Must assign both transaction object and connection 
                // to Command object for a pending local transaction
                command1.Connection = connection;
                command1.Transaction = transaction;
                command2.Connection = connection;
                command2.Transaction = transaction;

                command1.CommandType = CommandType.Text;
                command2.CommandType = CommandType.Text;

                command1.ExecuteNonQuery();
                command2.ExecuteNonQuery();                   

                // Attempt to commit the transaction.
                transaction.Commit();
                //MessageBox.Show("Proceso de Cierre Terminado Satisfactoriamente", "SISROL", MessageBoxButtons.OK, MessageBoxIcon.Information);
            }
            catch (Exception ex)
            {
                MessageBox.Show("Excepción Tipo Commit " + ex.GetType() + " El Mensaje de Excepción: " + ex.Message, "SISROL", MessageBoxButtons.OK, MessageBoxIcon.Error);
                // Attempt to roll back the transaction. 
                try
                {
                    transaction.Rollback();
                }
                catch (Exception ex2)
                {
                    // This catch block will handle any errors that may have occurred 
                    // on the server that would cause the rollback to fail, such as 
                    // a closed connection.
                    MessageBox.Show("Excepción Tipo Rollback " + ex2.GetType() + " El Mensaje de Excepción: " + ex2.Message, "SISROL", MessageBoxButtons.OK, MessageBoxIcon.Error);
                }
            }
            finally
            {
                if (command1 != null)
                {
                    ((IDisposable)command1).Dispose();
                }
                if (command2 != null)
                {
                    ((IDisposable)command2).Dispose();
                }
            }
        }
    }

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.