0

Al iniciar el desarrollo de mi aplicación creé un sólo servlet para que reciba parámetros desde javascript y que se envíen a la base de datos a ejecutarse.

Entre esos parámetros que se envían hay sentencias de select, ignorando completamente que se dejaba una vulnerabilidad muy grande de SQL Injection.

La pregunta es ¿Cómo puedo cambiar eso?, ¿Qué opciones tengo?

1 respuesta 1

0

Usa la clase PreparedStatement para crear tu SQL pasando los valores dinámicos como parámetros, ejemplo:

public List<Producto> getProductos(Long categoria)
    String sql = "select * FROM productos WHERE id_categoria = ?";

    Connection c = dataSource.getConnection();
    PreparedStatement p = c.prepareStatement(sql);
    p.setString(1, categoria);
    ResultSet rs = p.executeQuery(sql)); 
    ...

Está clase evita que los parámetros lleven sentencias SQL, así evitas SQL injection en tu aplicación.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.