1

Realizando un análisis al código de mi proyecto me encuentro con la siguiente advertencia

Advertencia 1678 CA2100 : Microsoft.Security : La cadena de consulta pasada a 'SqlCommand.SqlCommand(string, SqlConnection)' en 'Data_Metodos_Cierre.Actualizar_Fecha_Obreros_Produccion_Transaction(DateTime, DateTime)' podría contener las siguientes variables: 'FechaIni.ToShortDateString()'. Si alguna de estas variables puede proceder de datos proporcionados por el usuario, considere el uso de un procedimiento almacenado o una consulta SQL parametrizada en lugar de compilar la consulta con concatenaciones de cadenas.

El código que adjunto a continuación es el que indica la advertencia.

 public void Actualizar_Fecha_Obreros_Produccion_Transaction(DateTime FechaIni,DateTime FechaFin)
    {
        string connstring = ConfigurationManager.ConnectionStrings["Trabajo"].ToString();
        using (SqlConnection connection = new SqlConnection(connstring))
        {
            connection.Open();
            SqlTransaction transaction;
            //Inicia la Transaccion Local.
            transaction = connection.BeginTransaction("InicioTransacción");
            try
            {
                SqlCommand command1 = new SqlCommand("UPDATE [TBL_MOV_PROD] SET [Mov_Fechai] = '" + FechaIni.ToShortDateString() + "'", connection); --> AQUI INDICA LA ADVERTENCIA
                SqlCommand command2 = new SqlCommand("UPDATE [TBL_MOV_PROD] SET [Mov_Fechaf] = '" + FechaFin.ToShortDateString() + "'", connection); --> AQUI INDICA LA ADVERTENCIA

                // Must assign both transaction object and connection 
                // to Command object for a pending local transaction
                command1.Connection = connection;
                command1.Transaction = transaction;
                command2.Connection = connection;
                command2.Transaction = transaction;                 

                command1.CommandType = CommandType.Text;
                command2.CommandType = CommandType.Text;                    

                command1.ExecuteNonQuery();
                command2.ExecuteNonQuery();                    

                // Attempt to commit the transaction.
                transaction.Commit();
                //MessageBox.Show("Proceso de Cierre Terminado Satisfactoriamente", "SISROL", MessageBoxButtons.OK, MessageBoxIcon.Information);
            }
            catch (Exception ex)
            {
                MessageBox.Show("Excepción Tipo Commit " + ex.GetType() + " El Mensaje de Excepción: " + ex.Message, "SISROL", MessageBoxButtons.OK, MessageBoxIcon.Error);
                // Attempt to roll back the transaction. 
                try
                {
                    transaction.Rollback();
                }
                catch (Exception ex2)
                {
                    // This catch block will handle any errors that may have occurred 
                    // on the server that would cause the rollback to fail, such as 
                    // a closed connection.
                    MessageBox.Show("Excepción Tipo Rollback " + ex2.GetType() + " El Mensaje de Excepción: " + ex2.Message, "SISROL", MessageBoxButtons.OK, MessageBoxIcon.Error);
                }
            }
        }
    }

A simple vista no le veo nada erróneo , pero recurro al foro para que me puedan indicar el motivo de esta advertencia.

2 respuestas 2

2

No puedes ni debes de concatenar en tu consulta alguna variable que la cambies a string, es decir con el .ToString() ya que es una vulnerabilidad. Puedes crear una variable donde guardes tu fecha en string y luego concatenarla.

Lo recomendable es ocupar parametros de SQL o generar un Stored Procedure

Te adjunto un ejemplo de como generar consultas con parametros

           da.UpdateCommand = new SqlCommand("UPDATE complain SET Name = @NAME,Email = @EMAIL,Message= @MESSAGE", con);
           da.UpdateCommand.Parameters.Add("@NAME", SqlDbType.NVarChar).Value = nameTextBox.Text;
           da.UpdateCommand.Parameters.Add("@EMAIL", SqlDbType.NVarChar).Value = emailTextBox.Text;
           da.UpdateCommand.Parameters.Add("@MESSAGE", SqlDbType.NVarChar).Value = messageTextBox.Text;

           con.Open();
           da.UpdateCommand.ExecuteNonQuery();
           con.Close();

Fuente del ejemplo: https://www.codeproject.com/Questions/251671/SQL-Database-Update-using-Csharp

1

Tomando en cuenta la respuesta realizada por Guasy , adapte ese código y realice unas modificaciones para que no arroje ningún tipo de advertencia posterior, adjunto como quedaría el código finalmente.

public void Actualizar_Fecha_Obreros_Produccion_Transaction(DateTime FechaIni,DateTime FechaFin)
    {
        string connstring = ConfigurationManager.ConnectionStrings["Trabajo"].ToString();
        SqlCommand command1=null;
        SqlCommand command2=null;
        using (SqlConnection connection = new SqlConnection(connstring))
        {
            connection.Open();
            SqlTransaction transaction;
            //Inicia la Transaccion Local.
            transaction = connection.BeginTransaction("InicioTransacción");
            try
            {
                String FecIni = FechaIni.ToShortDateString();
                String FecFin = FechaFin.ToShortDateString();
                command1 = new SqlCommand("UPDATE [TBL_MOV_PROD] SET [Mov_Fechai] = @Mov_Fechai", connection);
                command1.Parameters.Add("@Mov_Fechai", SqlDbType.NVarChar).Value = FecIni;
                command2 = new SqlCommand("UPDATE [TBL_MOV_PROD] SET [Mov_Fechaf] = @Mov_Fechaf", connection);
                command2.Parameters.Add("@Mov_Fechaf", SqlDbType.NVarChar).Value = FecFin;
                // Must assign both transaction object and connection 
                // to Command object for a pending local transaction
                command1.Connection = connection;
                command1.Transaction = transaction;
                command2.Connection = connection;
                command2.Transaction = transaction;

                command1.CommandType = CommandType.Text;
                command2.CommandType = CommandType.Text;

                command1.ExecuteNonQuery();
                command2.ExecuteNonQuery();                   

                // Attempt to commit the transaction.
                transaction.Commit();
                //MessageBox.Show("Proceso de Cierre Terminado Satisfactoriamente", "SISROL", MessageBoxButtons.OK, MessageBoxIcon.Information);
            }
            catch (Exception ex)
            {
                MessageBox.Show("Excepción Tipo Commit " + ex.GetType() + " El Mensaje de Excepción: " + ex.Message, "SISROL", MessageBoxButtons.OK, MessageBoxIcon.Error);
                // Attempt to roll back the transaction. 
                try
                {
                    transaction.Rollback();
                }
                catch (Exception ex2)
                {
                    // This catch block will handle any errors that may have occurred 
                    // on the server that would cause the rollback to fail, such as 
                    // a closed connection.
                    MessageBox.Show("Excepción Tipo Rollback " + ex2.GetType() + " El Mensaje de Excepción: " + ex2.Message, "SISROL", MessageBoxButtons.OK, MessageBoxIcon.Error);
                }
            }
            finally
            {
                if (command1 != null)
                {
                    ((IDisposable)command1).Dispose();
                }
                if (command2 != null)
                {
                    ((IDisposable)command2).Dispose();
                }
            }
        }
    }

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.