Aprendiendo de los errores de otros en BDs

[[AzidRain]]

Me econtre este sitio muy bueno que trata sobre diferentes estrategias para prevenir la inyección de código SQL en nuestras aplicaciones y me puse a pensar en varios ejemplos que he visto de desarrollos de mis colegas cordobeses en donde tal vez por comodidad practicamente se puede hacer de todo. He visto muchos casos donde por ejemplo en un soft de gestión, para buscar un producto por nombre le piden al usuario que escriba un "%" como comodín si no se sabe el nombre completo. En otros casos me encontré con una Forma que tenia un TMemoEdit para escribir supuestamente "comandos" definidos por el desarrollador del software quien coloco unos botones que al presionarlos simplemente escribian el código a ejecutar. De manera que tranquilamente podiamos ponernos a escribir cualquier comando SQL válido y su programa lo ejecutaba!!

Pero bueno, a todos en algún momento nos ha pasado.

[Casimiro Noteví]

Conozco más de un programa que hace eso, pero claro, lo han pedido los clientes

[roman]

Originally Posted by AzidRain

para buscar un producto por nombre le piden al usuario que escriba un "%" como comodín si no se sabe el nombre completo.

A ver, quiero aprender. Yo hago esto que dices en una aplicación Delphi con MySQL. ¿Cuál sería el problema?.

Estrictamente hablando, esta es la consulta:

Código SQL [-]
select * from tabla where nombre like :valor

y sustituyo el parámetro con lo que escriba el usuario.

// Saludos

[[AzidRain]]

la consulta es válida, pero si ya sabes que te pueden poner eso que mencionas simplemente quitas los % de la entrada del usuario y no haces un like asi tan directo.

[roman]

¡Pero no me has explicado nada! ¿Cuál es el peligro de esa consulta así de directa? Y, se lo diga o no, el usuario puede poner sus %.

// Saludos

[[AzidRain]]

El "%" le funcionara solo si tu consulta es un LIKE como pusiste, si es una igualdad (al menos en MySQL que es lo que trabajo todos los días) simplemente no hará nada.

[roman]

Bueno, eso lo entiendo. Lo que no entiendo es qué tiene que ver con inyección de código SQL, que es el tema que pusiste sobe la mesa. Si hay algún peligro potencial, sería bueno saberlo.

// Saludos