Tengo un TextBox que cuando obtengo su valor por get, y lo coloco en el Query directamente para hacer la consulta a la base de datos(MySql), me han dicho que es mala practica, como puedo solucionar este problema?
2 respuestas
Es una mala práctica, no sé si te han explicado por qué, pero si en la TextBox
escriben consultas SQL pueden hacerte denegación de servicios, borrar tablas, obtener datos...etc.
Supongo que ahora mismo haces las consultas con un createStatement().executeQuery("consulta");
, y no es muy diferente, lo único que tienes que utilizar el método preparedStatement('consulta')
:
public class UnaClase {
// Aqui guardamos un unico PreparedStatement para insertar
PreparedStatement psSelect = null;
...
public void unMetodoDeInsertar () {
try {
// Creamos el PreparedStatement si no estaba ya creado.
if (null == psInsertar) {
psSelect = conexion.prepareStatement(
"select * from tabla where condicion=?");
...
} catch (SQLException e) {
e.printStackTrace();
}
Como verás, en el prepared statement hemos hecho una select en la que no le pasamos ningún valor, le pasamos una interrogación. Esa interrogación se sustituye de la siguiente manera:
psSelect.setString(1,TextBox1.getText);//Aquí pones como primer argumento la posición de la interrogación a reemplazar, en este caso es la primera(1), y después por lo que se va a reemplazar, en este caso lo que haya escrito en tu TextBox
Debes usar consultas preparadas JDBC de la siguiente manera:
/* La conexión la tenemos definida en "con" y la cadena en "texto" */
PreparedStatement insertarStmt = null;
String insertString = "INSERT INTO tabla (texto) VALUES (?)";
try {
con.setAutoCommit(false);
insertarStmt = con.prepareStatement(insertString);
/* Asignamos la variable "texto" al primer (y único) "?" de la consulta SQL */
insertarStmt.setString(1, texto);
/* Aunque se llame "executeUpdate" no implica que se use únicamente para
actualizaciones es simplemente para indicar una consulta SQL que no
tiene datos de retorno */
insertarStmt.executeUpdate();
} catch (SQLException e) {
/* ... */
} finally {
/* ... */
}
-
Gracias por tu aporte Oscar Garcia, de ahora en adelante a utilizar consultas preparadas para evitar sql inyection Commented el 22 may. 2017 a las 7:15
-
@GiorgioMagaña No te olvides de marcar la respuesta como correcta.– HechiCommented el 22 may. 2017 a las 7:22
-
intento marcar la respuesta como correcta pero me dice un mensaje que si no tengo mas de 15 puntos de reputación no puedo marcarla! Commented el 22 may. 2017 a las 7:24
-
Gracias @Hechi . @GiorgioMagaña , Puedes marcar las respuestas ajenas como correctas desde el principio pulsando en la marca
✓
en color gris que aparece bajo los controles de votación positiva y negativa. Lo que no tienes permitido hasta que tengas 15 puntos es puntuar positiva o negativamente una respuesta. Si fuera una respuesta propia entonces deberías esperar 48 horas, pero también podrías. Commented el 22 may. 2017 a las 7:27 -