1

Tengo el siguiente código en C# para llamar a un stored procedure en una base de datos SQL. Todo funciona bien, pero en el parámetro que le paso me agrega 2 comillas extras.

    {
        try
        {
            

            using (SqlConnection conn = new SqlConnection(GetConnectionString(labId)))
            using (SqlCommand cmd = conn.CreateCommand())
            {
                cmd.CommandText = "sigma_user.Usuarios_ValidarUsuario";
                cmd.CommandType = CommandType.StoredProcedure;
                cmd.Parameters.AddWithValue("Usuario", userLogin);
                cmd.Parameters.Add("@Password", SqlDbType.Char).Value = "?????''?W??9Fj?b";
               // cmd.Parameters.AddWithValue("Password", userPassword);

                var returnParameter = cmd.Parameters.Add("@ReturnVal", SqlDbType.Int);
                returnParameter.Direction = ParameterDirection.ReturnValue;

                conn.Open();
                cmd.ExecuteNonQuery();
                var result = returnParameter.Value;
                conn.Close();
                return (int)result;
            }
        }

Cuando ejecuta el stored procedure lo hace la siguiente manera:

exec sigma_user.Usuarios_ValidarUsuario @Usuario=N'prueba',@Password='?????''''?W??9Fj?b'

Como verán, agrega 2 comillas.

7
  • 3
    No está agregando comillas extras. En SQL una comilla simple ('), dentro de una cadena (que está delimitada por comillas simples), se representa con una doble comilla '', por ejemplo, la cadena John's, se representa como 'John''s'.
    – jachguate
    Commented el 22 sept. 2020 a las 23:32
  • Entiendo, pero entonces como podría solucionar el problema entonces? Commented el 23 sept. 2020 a las 12:49
  • ¿Cuál es el problema? pregunto, porque has descrito una situación, pero no has mencionado que esto represente algún tipo de problema, o cuál es ese?
    – jachguate
    Commented el 23 sept. 2020 a las 15:42
  • El problema es que el valor en la base de datos, tiene 2 comillas, y cuando lo ejecutar el store manda el parametro con 4 comillas. Por esto al comparar las contraseñas no son iguales. Commented el 23 sept. 2020 a las 16:52
  • 1
    Enzo, es lo que te explico. Que en SQL, las 4 comillas visibles, representan solamente 2 comillas dentro de la cadena, ya que cada comilla simple, dentro de una cadena, se representa con una comilla doble. Lee de nuevo mi primer comentario.
    – jachguate
    Commented el 24 sept. 2020 a las 6:51

1 respuesta 1

1

Puedes hacer esta trampa:

"?????''?W??9Fj?b".replace("'" , "' || chr(39) || '")

valores vistos desde c#

"?????''?W??9Fj?b" -> "?????' || chr(39) || '?W??9Fj?b"

el rdbs lo evalúa como:

expr -> '?????' || chr(39) || '?W??9Fj?b' 
expr -> ?????''?W??9Fj?b

de esta forma el parámetro lo interpreta el compilador del motor de bases de datos (por ejemplo postgres,oracle) pero no se qué operador de concatenación usar pues la db no es especificada.

No es ortodoxo pero ante medidas desesperadas ayuda a prevenir que se dañe el sql haciendo una cerradura de los strings :

 ' || chr(39) || '
 * Cerradura inicial del string
       
 
                 * apertura dle nuevo string.

         
1
  • La base de datos es SQL Server, como seria la expresión en ese caso? Commented el 23 sept. 2020 a las 13:13

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.