0

Acabo de terminar un método que recibe a través de una URL unas condiciones de búsqueda, como:

  • 1 o más campos por los que filtrar la búsqueda con sus respectivos valores
  • 1 o más campos por los que ordenar la búsqueda
  • Un límite y un offset (para paginar)
  • Un parámetro "exactSearch" que determina si en el WHERE se usarán "=" o "LIKE %%"

Así, la url podría quedar algo así:

http://localhost:9000/empleado/page/1?
fieldSearch=apellido&
valueSearch=lopez&
fieldOrder=oficio&
fieldOrder=emp_no&
typeOrder=asc&
exactSearch=0

Después de terminarlo me doy cuenta de que el método es bastante vulnerable contra la inyección de SQL, y cualquiera podría acceder a todos los registros de la tabla sin mayor problema, o cosas peores.

La cuestión es que no sé cómo crear una consulta usando @Query del tipo:

@Query("SELECT * FROM empleados WHERE id = :id")

...que permita buscar por uno o más campos, u ordenar por uno o más campos, ya que hasta donde yo sé no le puedo pasar los nombre de las columnas por parámetro.

Aunque no sé si es necesario, aquí va lo que tengo hasta ahora:

package com.empresa.repositories;

import java.lang.reflect.Field;
import java.util.ArrayList;
import java.util.List;

import javax.persistence.Column;
import javax.persistence.EntityManager;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.data.jpa.repository.JpaContext;
import com.empresa.models.Empleado;

public class EmpleadoCustomRepositoryImpl implements EmpleadoCustomRepository{
    
    EntityManager em;

    @Autowired
    public EmpleadoCustomRepositoryImpl(JpaContext context) {
        this.em = context.getEntityManagerByManagedType(Empleado.class);
    }
    
    public ArrayList<Empleado> findEmpleadosByField(
            List<String> fieldSearch, 
            List<String> valueSearch, 
            List<String> fieldOrder, 
            String typeOrder, 
            int exactSearch,
            long pageNo, 
            long pageSize){
        
        String query = "";
        String searchString = "";
        String orderString = "";
        String searchModeStringStart = "=\"";
        String searchModeStringEnd = "\"";
        String limitString = "";
        
        List<String> cols = getColumnsNames();
        
        //AQUI NI CASO, PORQUE ESTO ERA PARA VER SI PODÍA NO PASAR NINGÚN CAMPO DE BÚSQUEDA.
        //ES OTRO FRENTE CON EL QUE ME TENGO QUE PELEAR
        //Compruebo si se ha pasado un campo por el que filtrar
        //En caso de que no se haya pasado ninguno, busco 'id LIKE "%%"'
        if(fieldSearch.equals(null) || fieldSearch.isEmpty()) {
            fieldSearch.clear();
            fieldSearch.add("id");
            valueSearch.clear();
            valueSearch.add("");
            exactSearch = 0;
        }
        
        //Compruebo si la búsqueda ha de ser exacta
        if(exactSearch != 1) {
            searchModeStringStart = " LIKE \"%";
            searchModeStringEnd= "%\"";
        }
        
        //Compruebo que el número de campos por los que se desea filtrar es el mismo que 
        //la cantidad de valores proporcionados para dichos campos.
        if(fieldSearch.size() == valueSearch.size()) {
            for(int i = 0; i < fieldSearch.size(); i++) {
                //Compruebo que el campo a buscar coincide con el nombre de una columna
                //en un vago intento de evitar inyecciones de sql
                for(String col : cols) {
                    if(fieldSearch.get(i).equals(col)) {
                        if(i == 0) {
                            searchString = " WHERE " + fieldSearch.get(i) + 
                                    searchModeStringStart + valueSearch.get(i) + searchModeStringEnd;
                        }else{
                            searchString = searchString + " AND " + fieldSearch.get(i) + 
                                    searchModeStringStart + valueSearch.get(i) + searchModeStringEnd;
                        }
                    }
                }
            }
        }

        // Si no se pasa un modo de ordenar, o se pasa cualquier otra cosa que no sea "ASC" o "DESC",
        // se ordena de forma ASC
        if(!typeOrder.equals("desc")){
            typeOrder = "asc";
        }
        
        // Si no se pasa un campo por el que ordenar, ordeno por id
        if(fieldOrder.size() == 0) fieldOrder.add("id");
        for(int i = 0; i < fieldOrder.size(); i++) {
            if(i == 0) {
                orderString = " ORDER BY " + fieldOrder.get(0);
            }else if(i == fieldOrder.size() -1){
                orderString = orderString + ", " + fieldOrder.get(i) + " " + typeOrder;
            }else {
                orderString = orderString + ", " + fieldOrder.get(i);
            }
        }
        
        limitString = " LIMIT " + pageNo + ", " + pageSize;
        
        query = "SELECT * FROM empleados" + searchString + orderString + limitString;
        
        System.out.println(query);
        
        
        @SuppressWarnings("unchecked")
        List<Empleado> list = em.createNativeQuery(query, Empleado.class).getResultList();
        
        ArrayList<Empleado> lista = new ArrayList<>();
        lista.addAll(list);
        return lista;
    }
    
    public Empleado findEmpleadoById(Long id) {
        Empleado emp = (Empleado) em.createNativeQuery(
            "SELECT * FROM empleados WHERE id = " + id, Empleado.class);
        return emp;
    }
    
    public List<String> getColumnsNames(){
        List<String> columns = new ArrayList<String>();
        Field[] fields = Empleado.class.getDeclaredFields();
        
        for(Field field: fields) {
            Column col = field.getAnnotation(Column.class);
            if(col != null) {
                columns.add(col.name());
            }
        }
        return columns;
    }
}

1 respuesta 1

0

Te aconsejo que utilices un ORM, de esta forma mapeas tus entities con tu base de datos, debes incluir un repository que básicamente es una interfaz que te permite manipular sentencias sql, la cuales también pueden ser nativas. Según lo que necesitas podrías implementar algo como esto con Hibernate implementando JPA:

@Query("SELECT * FROM empleados WHERE id = :id and otroDato = :otroDato")
 List<Empleado> search(String id, String otroDato);

Con respeto a la vulnerabilidad se recomienda lo siguiente: Recomendaría usar consultas con nombre con parámetros sobre cadenas de concatenación para construir JPQL / SQL. Por lo tanto de esta forma podrás evitar SQL Injection, de todas formas si conoces los valores devueltos te recomiendo utilizar ENUM.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.