1

hace mucho ya habia leído acerca de la Inyeccion SQL y como evitarla pero no lo entendi. Despues cuando estuve aprendiendo Python 3, el que enseñaba el curso tambien hizo mencion de la Inyeccion SQL y mencionaba en el curso que hay que parametrizar las variables. En fin, para no hacerlo tan largo, mi duda es:

¿Cual es la diferencia entre ejecutar este codigo (sin parametrizar):

 Dim cadena = "insert into alumnos (nombre,apellido,edad) values('" & nombre.Text & "','" & 
 apellido.Text & "','" & edad.Text "')"
 Dim cmd As SqlCommand
 cmd = New SqlCommand(cadena, conexion)
 cmd.ExecuteNonQuery()

y ejecutar este otro codigo (con parametrizacion)? :

 Dim cadena = "insert into alumnos (nombre,apellido,edad) values(@param1, @param2, @param3)"
 Dim cmd As SqlCommand
 cmd = New SqlCommand(cadena, conexion)
 cmd.Parameters.AddWithValue("@param1", nombre.Text);  
 cmd.Parameters.AddWithValue("@param2", apellido.Text);
 cmd.Parameters.AddWithValue("@param2", edad.Text); 
 cmd.ExecuteNonQuery()

Segun comprendo, en ambas situaciones, si un usuario malicioso escribiera algo para dañar mi base de datos, como quiera se pasaría a la consulta. Eso es lo que me dice mi lógica, pero por lo que he leído, no es asi y quisiera saber la razon o como es que al parametrizar mis variables, mi BD está protegida contra la inyeccion SQL.

Desde ya muchas gracias por resolver mi duda.

1 respuesta 1

2

La diferencia es que en el primer código, los valores se integrarán a la instrucción, mientras que en el segundo permanecerán como valores. Un ejemplo sencillo, sería si en el nombre usas la cadena ','',''); DROP TABLE alumnos;--.

Tal vez digas que no es algo que alguien escribirá por error, pero es algo que alguien puede usar como parte de código malicioso. En el primer código, eliminarás por completo la tabla alumnos, mientras que en el segundo código solo insertarás la cadena en el nombre.

Otra ventaja es que parametrizando tus consultas, puedes mantener el tipo de dato en todo momento y no depender de formatos conflictivos para fechas o decimales.

1
  • Interesante...gracias por tu respuesta Luis! Un saludo! el 7 ago. 2020 a las 7:10

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.