3

Tengo por un lado una clase AccesoDatos donde pongo toda la programación de conexión a la BD y por otro lado estoy trabajando en una ventana desde la cual quiero enviar una Store Procedure de SQL con sus respectivos valores. La idea es evitar la Inyección, pero las formas que he encontrado para hacerlo me impiden enviar los valores a través del método que realiza la consulta.

Esta es la forma en que está el código en la ventana y que quiero evitar:

ad.actualizarBD("exec insertarGarante @dni = " + item1.pDNI + ", @tipoDNI = " + item1.pTipoDNI + ", @sugerencias = '" + 0 + "', @idContrato = " + idContrato + " ");

Este es el método en la clase AccesoDatos:

public void actualizarBD(string comando)
        {
            try
            {
                Conectar();
                cmd = new SqlCommand();
                cmd.Connection = cn;
                cmd.CommandText = comando;
                cmd.ExecuteNonQuery();
            }
            catch (Exception e)
            {
                MessageBox.Show("Error: " + e.ToString());
            }
            finally
            {
                Desconectar();
            }
        }

Desde ya muchas gracias

1

2 respuestas 2

3

Puedes utilizar SQLParameters

try
{

    Conectar();

    using (SqlCommand cmd = new SqlCommand("dbo.insertarGarante"))
    {
        cmd.Connection = cn;
        cmd.CommandType = CommandType.StoredProcedure;

        cmd.Parameters.AddWithValue("@dni", item1.pDNI);
        cmd.Parameters.AddWithValue("@tipoDNI", item1.pTipoDNI);
        cmd.Parameters.AddWithValue("@sugerencias", 0);
        cmd.Parameters.AddWithValue("@idContrato ", idContrato);

        cmd.ExecuteNonQuery();
    }
}
catch (Exception e)
{
    MessageBox.Show("Error: " + e.ToString());
}
finally {
    Desconectar();
}

La implementación más sencilla, es con el método AddWithValue, donde defines el nombre del parámetro y le asignas su valor. En el ejemplo expuesto, he utilizado tu objeto (item1) y variables (idContrato), para alimentar los valores, aunque no están definidos.

AddWithValue

1
  • Claro, esa es la forma clásica. Quería saber si era posible enviar la sentencia parametrizada a través de un método a la clase AccesoDatos Commented el 16 dic. 2020 a las 15:03
2

EL MÉTODO DE TU CLASE ACCESODATOS PODRÍA QUEDAR ASÍ:

public void ExecProcedure(string procname, SqlParameter[] Parametros, ref DataSet ds)
    {
        SqlConnection con = null;
        try
        {
            using (con = new SqlConnection("myconnectionstring.."))
            {
                SqlCommand Commad = new SqlCommand(procname, con);

                Commad.CommandType = CommandType.StoredProcedure;

                foreach (SqlParameter par in Parametros)
                {
                    if (par.Value == null)
                    {
                        par.Value = DBNull.Value;
                    }
                    Commad.Parameters.Add(par);
                }

                SqlDataAdapter da = new SqlDataAdapter(Commad);
                da.SelectCommand.CommandTimeout = 0;
                da.Fill(ds);
            }
        }
        catch (Exception e)
        {
            return;
        }
    }

EJECUTAR EL PROC:

SqlConnection con = null; DataSet ds = new DataSet();
var parametros = new SqlParameter[] { new SqlParameter("@dni", item1.pDNI),
                    new SqlParameter("@tipoDNI", item1.pTipoDNI),
                    new SqlParameter("@sugerencias", "0"),
                    new SqlParameter("@idContrato", idContrato),

                };
ExecProcedure("insertarGarante", parametros, ref ds);
                
3
  • 2
    Por qué debería intentar esto? Procura siempre incluir en tus respuestas una breve explicación de qué hace el código sugerido y cómo usarlo.
    – Alfabravo
    Commented el 16 dic. 2020 a las 15:16
  • Gracias por la observación Commented el 16 dic. 2020 a las 17:08
  • 1
    Genio total! Muchísimas gracias, anduvo perfecto! Estuve días buscando la forma. Saludos Commented el 16 dic. 2020 a las 17:25

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.