1

Estoy creando una aplicación para escritorio de windows, con la cual conecto a una base de datos MySql que tengo creada en un hosting (he referenciado MySql.Data, instalando antes el connector de MySql). El problema es que he leído que es muy muy inseguro este método. No sé si tendría que poner los datos de conexión en el exe.config, cifrarlos de alguna manera, y las sentencias igual, ya que dicen que pueden decompilar el programa y ver los datos, o hacer alguna inyección, o con algún programa de escucha en linux tipo Kali wireshark se podrían captar los datos. Necesitaría consejos por favor. Para que os hagáis una idea de como realizo la conexión y de como borro o inserto datos: Conexión (está en una clase):

        public static MySqlConnection conexionBD;
        public static void Iniciar_Conexion_BBDD(String servidor, String puerto, String usuario, String password, String bd)
        {
            servidor = "servidor";
            puerto = "3306";
            usuario = "usuario";
            password = "pass";
            bd = "basedatos";

            String cadenaConexion = $"Database={bd}; Data Source={servidor}; Port={puerto}; User Id={usuario}; Password={password}";

            conexionBD = new MySqlConnection(cadenaConexion);
            try
            {
                conexionBD.Open();
            }
            catch (Exception ex)
            {
                MessageBox.Show("Error " + ex.Message);
            }
        }

Interacción con datos a la BD, luego actualizo el DGV:

private void Insertar_Click(object sender, EventArgs e)
        {
            
            String tabla = txtTabla.Text;

            try
            {
                String agregar = $"INSERT INTO {tabla} VALUES ('{txtId.Text}','{txtNombre.Text}','{txtApellidos.Text}','{txtEdad.Text}','{txtCodigo.Text}');";

                MySqlCommand comando = new MySqlCommand(agregar);
                comando.Connection = Conexion.conexionBD;
                comando.ExecuteNonQuery();
                CargaDatosDGV_Click_1(null, null); // Actualizo datos del DGV
                MessageBox.Show("Datos agregados correctamente.");
            }
            catch (Exception ex)
            {
                MessageBox.Show("Error: " + ex);
            }
        }

Borrar datos de la BD y luego refresco DGV

private void Borrar_Click(object sender, EventArgs e)
        {

            String tabla = txtTabla.Text;

            try
            {
                String agregar = $"DELETE FROM {tabla} WHERE Id = '{dataGridView1.SelectedRows[0].Cells["Id"].Value.ToString()}'"; // El registro seleccionado

                MySqlCommand comando = new MySqlCommand(agregar);
                comando.Connection = Conexion.conexionBD;
                comando.ExecuteNonQuery();
                CargaDatosDGV_Click_1(null, null);
                MessageBox.Show("Datos borrados correctamente.");
            }
            catch (Exception ex)
            {
                MessageBox.Show("Error: " + ex);
            }

        }

Gracias.

3
  • Con respecto a la inyección de datos debes validar que caracteres únicamente vas a permitir que ingresen
    – DavElsanto
    Commented el 3 sept. 2020 a las 13:42
  • Ajam, por ejemplo, solo números y letras ? No sería necesario introducir nada más en los campos.
    – JoseLuis
    Commented el 3 sept. 2020 a las 15:36
  • es mas recomendable que valides los parametros y crees un stored procedure. Commented el 3 sept. 2020 a las 20:49

1 respuesta 1

2

El problema no se presenta por una posible decompilacion del codigo, sino porque te conectas a la db que esta en un hosting directamente, lo cual implica que expones el servicio de la db al internet sin proteccion, esa es una pesima idea.

NUNCA se expone una db directo a internet, a lo sumo deberias hacerlo estableciendo un canal seguro por medio de una VPN entre tu red local y el hosting.

Otra alternativa seria no conectarte directo sino exponer Web Service o Web Api de esta forma app local consume los datos por medio de estos servicios.

private void Insertar_Click(object sender, EventArgs e)
{
    
    try
    {
        String agregar = @"INSERT INTO NombreTabla (Id, Nombre, Apellido, Edad, )VALUES (?Id, ?Nombre, ?Apellido, ?Edad, ?Codigo)";

        MySqlCommand comando = new MySqlCommand(agregar, Conexion.conexionBD);
        comando.Parameters.AddWithValue("?Id", txtId.Text);
        comando.Parameters.AddWithValue("?Nombre", txtNombre.Text);
        comando.Parameters.AddWithValue("?Apellido", txtApellidos.Text);
        comando.Parameters.AddWithValue("?Edad", txtEdad.Text);
        comando.Parameters.AddWithValue("?Codigo", txtCodigo.Text);
        
        comando.ExecuteNonQuery();
        
        MetodoComun(); 
        
        MessageBox.Show("Datos agregados correctamente.");
    }
    catch (Exception ex)
    {
        MessageBox.Show("Error: " + ex.Message);
    }
}

El nombre de la tabla no se toma de un string como lo haces de txtTabla, porque cada tabla tiene su estructura de campos definida

Se usan siempre parametros en la query para definir los valores y se definen los nombres de los campos, porque tendras problemas si estos llegan a cambiar de posicion

Ademas no deberias usar el metodo asociado al evento del grid, sino definir esa funcionalidad en otros metodo comun que reuses, como ser

public void CargaDatosDGV_Click_1(....)
{
    MetodoComun();
}

private void MetodoComun()
{
    //codigo
}

entonces desde tu metodo de insertar como en el click del grid invocas esa funcionalidad resusable

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.