0

Estoy tratando de ejecutar los siguientes comandos:

stmt=con.prepareStatement("CREATE DATABASE ?");
stmt.setString(1, nombreBase);
stmt.executeUpdate();

Al hacerlo sobre select o insert funciona pero al hacerlo con estos comandos no me permite hacerlo me arroja un error de sintaxis. ¿Por qué se da esto?

2 respuestas 2

0

no puedes enviar un nombre de la base de datos usando los binds, debes generar de una su sentencia y enviarlo al prepareStatement, algo asi

String query = "CREATE DATABASE "+nombreBase;

stmt=con.prepareStatement(query); stmt.executeUpdate();

Nota: Recuerda que las sentencias preparadas deben ser una instrucción de lenguaje de manipulación de datos de SQL , como INSERT, UPDATE o DELETE; O una instrucción SQL que no devuelve nada.PreparedStatement

9
  • Pero y como evito sqlInjection si no lo mando asi
    – Leo T
    el 16 ene. 2017 a las 17:40
  • @LeoT pues lo que estas haciendo es una creacion de base de datos, mas no consultas, ni actualizaciones o eliminaciones;
    – El Micke
    el 16 ene. 2017 a las 17:41
  • 1
    Nota: executeUpdate es para comandos de DML como insert, update, delete. Para ejecutar DDL usa Statement#execute o PreparedStatement#execute.
    – user227
    el 17 ene. 2017 a las 1:07
  • 1
    @LeoT no tienes otra alternativa más que sanitizar el parámetro enviado. Puedes usar una lista blanca y negra para la validación o usar un framework que pueda apoyarte con esto.
    – user227
    el 17 ene. 2017 a las 1:11
  • 1
    La cosa es que normalmente la creación de una base de datos no debería ser algo que sea el resultado de una entrada usuario. Los usuarios solo deberían poder manipular los datos de forma controlada, no la creación ni la estructura de los objetos de la base de datos mismo. El hecho que tu diseño permita esto, esa es la vulnerabilidad. Es mas, significa que tu aplicación se conecta a la base de datos con privilegios elevados, otro problema de seguridad. Lo que estás haciendo solo deberia permitirse con usuarios de mucha confianza, donde la preocupación de SQL injection no aplica en realidad.
    – sstan
    el 17 ene. 2017 a las 11:32
0

Es un poco workaround, pero podrías intentar crear un PL:

PROCEDURE crearBD(p_nombre_tabla VARCHAR2(20)) IS
BEGIN
    //llamada dinámica a CREATE DATABASE p_nombre_tabla
END;
/

Y desde Java:

CallableStatement cstmt = con.prepareCall("{call crearBD(?)}")) {
    cstmt.setString(1,"nombreBD");
    cstmt.execute();
}
4
  • Si la preocupación principal por la que OP quería hacer el bind en el PreparedStatement era evitar el SQL injection, esto en realidad no cambia nada. Solo da la ilusión que el código está más protegido, pero al final, de todos modos la llamada es dinámica dentro del SP.
    – sstan
    el 17 ene. 2017 a las 11:24
  • Tenía entendido que el CallableStatement ya hace un filtrado para evitar SQL injection, ¿no es así? el 17 ene. 2017 a las 11:35
  • En cierta forma, pero este filtrado solo es útil si no tienes SQL dinámico dentro del SP. En este caso, sería perfectamente válido que le pasara al parámetro el valor siguiente: "nombreBD; drop database otraBD;". ¿Qué pasaría entonces si dentro del SP ese valor se concatena a una sentencia CREATE DATABASE y se ejecuta de forma dinámica? Es solo un ejemplo que tal vez no aplique directamente a Postgres, pero creo que puedes ver la idea y el problema potencial.
    – sstan
    el 17 ene. 2017 a las 11:42
  • ¿Estás seguro de que JDBC no controla estos casos validando los parámetros? el 17 ene. 2017 a las 11:57

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.