0

Comparto el codigo que estoy realizando

USE [BD_Name]
GO

SET ANSI_NULLS ON
GO
SET QUOTED_IDENTIFIER ON
GO

ALTER PROCEDURE [dbo].[SP_ProducType_Data]

@TableName nvarchar(20),
@Station nvarchar(15),
@StartDate nvarchar(15), 
@EndDate nvarchar(15) 
AS
BEGIN

    SET NOCOUNT ON;

   **DECLARE @mytabla VARCHAR(20)**

   **SET @mytabla = @TableName**

   SELECT * FROM (

    SELECT [Idx],[Station],[Header],[Data],[TS] FROM [BD_Name].[dbo].[ 
       @mytabla ] 
        WHERE CONVERT(VARCHAR,[TS],23) BETWEEN @StartDate AND @EndDate
    AND [Station] = @Station
      ) A

END

2 respuestas 2

0

Para hacer eso, necesitas ejecutar código dinámico. Tienes que tener en cuenta, que esa ejecución de código dinámico, es peligrosa y puede estar sometida a inyección Sql. Busca y revisa esta parte antes de continuar.

Si esa parte ya la tienes clara o no es importante, por ser para entornos de desarrollo.

drop table if exists dbo.mitabla;
Create table dbo.mitabla 
(
    idx int, 
    station nvarchar(15), 
    header nvarchar(15),
    [data] nvarchar(15),
    ts date
);

Insert into dbo.mitabla (Idx, Station, Header, [Data], TS )
Values
(1,N'a',N'header',N'DATA','20230101'),
(2,N'b',N'header',N'DATA','20230101'),
(3,N'a',N'header',N'DATA','20230102'),
(4,N'a',N'header',N'DATA','20230103'),
(5,N'a',N'header',N'DATA','20230104');

Ahora la creación del procedure.

CREATE OR ALTER PROCEDURE [dbo].[SP_ProducType_Data]
(
    @TableName nvarchar(128), -- o sysname,
    @Station nvarchar(15),
    @StartDate nvarchar(15), 
    @EndDate nvarchar(15) 
)
AS
BEGIN

   SET NOCOUNT ON;
   DECLARE @query nvarchar(4000);

   SET @query = N'
      SELECT Idx, Station, Header, [Data], TS FROM dbo.['+ 
            @TableName + N']
        WHERE TS >= TRY_CONVERT(DATE,'''+@StartDate+''')
            AND
              TS < TRY_CONVERT(DATE,'''+@EndDate+''')
            AND
              Station = '''+@Station+''';';

    Exec sp_executeSql @query;
END;

Si observas el código, hay varios cambios. El parámetro de nombre de tabla lo he cambiado por un nvarchar(128) o sysname, porque así se definen los nombres de los objetos.

Luego en la variable @query, se introduce la query en formato texto, donde los valores de los parámetros son reemplazados por su contenido. Como las fechas y la estación son de un tipo que requiere apóstrofes, estos para encajarlos en una cadena hay que duplicarlos (en el caso triplicarlos).

Además aunque no se el tipo exacto de la columna ts. Es más adecuado, convertir los parámetros a algo, que convertir la columna a algo. Una columna tiene un número indeterminado de veces que hacer esto, sin embargo los parámetros en la query solo se hacen una vez, porque el optimizador de consultas, se encargará de hacerlo contra el valor.

Y luego se llama a exec sp_executeSql con la query formada.

EXEC dbo.[SP_ProducType_Data] 
     N'mitabla',
     N'a',
     '2023-01-01',
     '2023-01-03';

Res

El procedure ha realizado esta query en ejecución.

  SELECT Idx, Station, Header, [Data], TS FROM dbo.[mitabla]
    WHERE TS >= TRY_CONVERT(DATE,'2023-01-01')
        AND
          TS < TRY_CONVERT(DATE,'2023-01-03')
        AND
          Station = 'a';

Aunque en la solución por simpleza, he concatenado los parámetros, deberías de pasárselos al procedure sp_executeSql, como tales.

Sql Dinámico ¿Cómo se hace?

3
  • Si funciono, lo ingrese como @query y al final solo necesitaba el Exec sp_executeSql @Query;
    – jack stark
    el 29 ene. 2023 a las 20:50
  • Ahora intenta correrlo con este código y date cuenta por que es una mala idea. EXEC dbo.SP_ProducType_Data 'mitabla] WHERE 1=1; SELECT * FROM mitabla--', '', '', ''; el 30 ene. 2023 a las 18:48
  • O peor aun, con algo así: EXEC dbo.SP_ProducType_Data 'mitabla] WHERE 1=1; DELETE mitabla; SELECT * FROM mitabla--', '', '', ''; el 30 ene. 2023 a las 18:51
0

Empiezo por aclarar que lo que intentas es un code smell muy grande. Es muy probable que el diseño de la base de datos sea deficiente si tienes múltiples tablas con la misma estructura. Otra opción es que solo sean unos campos comunes y tablas completamente distintas aparte de eso. Sin embargo, aún así se debería de generar un procedimiento para cada tabla o para cada uso en particular. Otro detalle es que se debe de evitar retornar todas las columnas de la tabla porque suele ser un desperdicio de recursos.

Una vez pasando la advertencia, dejo unos cuantos consejos de como hacer código dinámico de forma correcta.

  1. Todos los parámetros deben de permanecer en el tipo de dato adecuado y no usar cadenas más que en casos que así lo requieran.
  2. No se debe concatenar valores de parámetros al código SQL a menos de que sea estrictamente necesario (nombres de objetos, columnas u operadores).
  3. Siempre debes de validar los nombres de objetos contra las tablas del sistema para evitar sorpresas.
  4. Utiliza la función QUOTENAME() para encapsular los nombres de objetos y columnas.
  5. Utiliza sp_executesql para parametrizar las consultas.

Dejo un ejemplo de como quedaría tu procedimiento

CREATE OR ALTER PROCEDURE [dbo].[SP_ProducType_Data]
(
    @TableName nvarchar(128), -- o sysname,
    @Station nvarchar(15),
    @StartDate date, 
    @EndDate date 
)
AS
BEGIN

   SET NOCOUNT ON;
   DECLARE @query nvarchar(4000);

   SELECT @query = N'
      SELECT Idx, Station, Header, [Data], TS FROM dbo.'+  QUOTENAME( name) + N'
        WHERE TS >= @StartDate 
          AND TS < @EndDate
          AND Station = @Station;'
    FROM sys.objects
    WHERE name = @TableName;

    Exec sp_executeSql @query, N'@Station nvarchar(15), @StartDate date, @EndDate date', @Station, @StartDate, @EndDate;
END;

GO

Así podemos evitar código malicioso como este

EXEC dbo.SP_ProducType_Data 'mitabla] WHERE 1=1;  DELETE mitabla; SELECT * FROM mitabla--', 'a', '20230101', '20230102';

Pero funciona perfectamente con los parámetros correctos.

EXEC dbo.SP_ProducType_Data 'mitabla', 'a', '20230101', '20230103';

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.