2

Tengo un TextBox que cuando obtengo su valor por get, y lo coloco en el Query directamente para hacer la consulta a la base de datos(MySql), me han dicho que es mala practica, como puedo solucionar este problema?

0

2 respuestas 2

4

Es una mala práctica, no sé si te han explicado por qué, pero si en la TextBox escriben consultas SQL pueden hacerte denegación de servicios, borrar tablas, obtener datos...etc.

Supongo que ahora mismo haces las consultas con un createStatement().executeQuery("consulta");, y no es muy diferente, lo único que tienes que utilizar el método preparedStatement('consulta'):

  public class UnaClase {
   // Aqui guardamos un unico PreparedStatement para insertar 
   PreparedStatement psSelect = null;
   ...
   public void unMetodoDeInsertar () {
   try {
      // Creamos el PreparedStatement si no estaba ya creado. 
      if (null == psInsertar) { 
         psSelect = conexion.prepareStatement(
            "select * from tabla where condicion=?");
      ...
   } catch (SQLException e) {
      e.printStackTrace();
   }

Como verás, en el prepared statement hemos hecho una select en la que no le pasamos ningún valor, le pasamos una interrogación. Esa interrogación se sustituye de la siguiente manera:

psSelect.setString(1,TextBox1.getText);//Aquí pones como primer argumento la posición de la interrogación a reemplazar, en este caso es la primera(1), y después por lo que se va a reemplazar, en este caso lo que haya escrito en tu TextBox
1
  • gracias por tu aporte Calvo :) el 22 may. 2017 a las 7:15
4

Debes usar consultas preparadas JDBC de la siguiente manera:

/* La conexión la tenemos definida en "con" y la cadena en "texto" */
PreparedStatement insertarStmt = null;
String insertString = "INSERT INTO tabla (texto) VALUES (?)";
try {
  con.setAutoCommit(false);
  insertarStmt = con.prepareStatement(insertString);
  /* Asignamos la variable "texto" al primer (y único) "?" de la consulta SQL */
  insertarStmt.setString(1, texto);
  /* Aunque se llame "executeUpdate" no implica que se use únicamente para
    actualizaciones es simplemente para indicar una consulta SQL que no
    tiene datos de retorno */
  insertarStmt.executeUpdate();
} catch (SQLException e) {
  /* ... */
} finally {
  /* ... */
}
6
  • Gracias por tu aporte Oscar Garcia, de ahora en adelante a utilizar consultas preparadas para evitar sql inyection el 22 may. 2017 a las 7:15
  • @GiorgioMagaña No te olvides de marcar la respuesta como correcta.
    – Hechi
    el 22 may. 2017 a las 7:22
  • intento marcar la respuesta como correcta pero me dice un mensaje que si no tengo mas de 15 puntos de reputación no puedo marcarla! el 22 may. 2017 a las 7:24
  • Gracias @Hechi . @GiorgioMagaña , Puedes marcar las respuestas ajenas como correctas desde el principio pulsando en la marca en color gris que aparece bajo los controles de votación positiva y negativa. Lo que no tienes permitido hasta que tengas 15 puntos es puntuar positiva o negativamente una respuesta. Si fuera una respuesta propia entonces deberías esperar 48 horas, pero también podrías. el 22 may. 2017 a las 7:27
  • nuevamente gracias por todo @os el 22 may. 2017 a las 17:45

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.