Ayuda con Procedimiento Almacenado ( Parametro )

Carlos,

Se que tu estas conciente de este problema, solo lo puntualize porque los
desarrolladores nuevos no estan al tanto de este problema y si se le da la
solucion sin avisarle de los riesgos, entonces ya sabes las consecuencias.

En uno de los articulos de Erland, el que posteo Carlos Sacristan, se
explica como descomponer esa lista, usando una funcion que devuelve una tabla.

AMB


"Carlos M. Calvelo" wrote:

Mostrar la cita

Hola Alejandro,

On 4 nov, 20:26, Alejandro Mesa
wrote:
> Pero presta mucha atencion a lo que contiene ese parametro, pues esa es una
> forma que se puede explotar para injectar codigo sql. El problema esta en que
> a SQL Server se le puede enviar un lote de intrucciones, por lo que al
> concatenar cadenas entradas por el usuario, el codigo final puede resultar en
> algo inesperado. Una forma de evitar la injeccion de codigo t-sql es no
> concatenando cadenas entradas por el usuario.
>
> use northwind
> go
>
> declare @parametro varchar(128)
>
> set @parametro = '1, 2, 3); drop table dbo.orders; select (1'
>
> select 'select * from dbo.orders where orderid in (' + @parametro + ')'
> go
>
> Resultado:
>
> select * from dbo.orders where orderid in (1, 2, 3);
> drop table dbo.orders;
> select (1)
>
> The Curse and Blessings of Dynamic SQLhttp://www.sommarskog.se/dynamic_sql.html
>

Si Alejandro. Era consciente de ello cuando lo escribí.
Obviamente aquí el cliente (aplicación) tiene una responsabilidad
bastante seria.

Pero no he visto otra forma dado como está planteado el
problema. Quizás se encuentre algo mas inteligente en la
página de sommarskog !?

Gracias por la puntualización,
Carlos

On 4 nov, 21:07, Alejandro Mesa
wrote:
Mostrar la cita

Carlos,

Se que tu estas conciente de este problema, solo lo puntualize porque los
desarrolladores nuevos no estan al tanto de este problema y si se le da la
solucion sin avisarle de los riesgos, entonces ya sabes las consecuencias.

Tienes toda la razón. Bien hecho.

Saludos,
Carlos

Hola!

Que te parece armar una tabla temporal con los valores del parametro y
despues hacer un join con esa tabla temporal?

Por ejemplo:

IF OBJECT_ID(N'[tempdb]..[#tabla]') IS NOT NULL DROP TABLE #tabla
CREATE TABLE #tabla (valor char(10))

WHILE CHARINDEX(',' , @Parametro, 0) <> 0 AND CHARINDEX(',' , @Parametro, 0)
IS NOT NULL
BEGIN
SET @valor = LEFT(@Parametro,CHARINDEX(',' , @Parametro, 0) - 1)
SET @nSecuencias = CASE WHEN CHARINDEX(',' , @Parametro, 0) = 0
THEN ''
ELSE
RIGHT(@Parametro,LEN(@Parametro) - CHARINDEX(',' , @Parametro, 0))
END
INSERT INTO #tabla
SELECT @valor
END
INSERT INTO #tabla SELECT @Parametro


Luego, simplemente realiza un JOIN con #tabla a travéz del campo.

Saludos.


Jaime Lucci



"Francizk0" wrote in message
news:
Mostrar la cita

Q tal gente otra ves acudiendo a uds.
tengo el sgt problema o duda ??

Tengo un SP el cual una de las condicion utilizon el IN , el WHERE es
algo asi
WHERE Campo IN ( @Parametro ) , ahi todo bien lo que ocurre es q como
mando @Parametro si quiero q valga
algo asi :
@Parametro = 'xx-xxxx' , 'xx-xxxx' , 'xx-xxxx'
yq qye solo funciona si lo mando :
@Parametro = 'xx-xxxx', es decir con una valor
mi duda es de que forma puedo hacer que @Parametro sea como el primer
caso
Utilizo Win XP y MS-SQL 2000

Alguna idea????????

Perdón, donde dice

SET @nSecuencias = CASE ...

debe ser

SET @Parametro = CASE ...


Con ese codigo, al tener por ejemplo @Parametro = ''xxxx','yyyy','zzzz''
te forma la tabla temporal #tabla con lo siguiente:

valor
xxxx
yyyy
zzzz


lo unico que te queda es hacer:

select *
from tabla a
inner join #tabla b
on a.campo = b.valor

y de esta forma obtienes el resultado que esperas.

Saludos.

"Jaime Lucci" wrote in message
news:
Mostrar la cita

Hola!

Que te parece armar una tabla temporal con los valores del parametro y
despues hacer un join con esa tabla temporal?

Por ejemplo:

IF OBJECT_ID(N'[tempdb]..[#tabla]') IS NOT NULL DROP TABLE #tabla
CREATE TABLE #tabla (valor char(10))

WHILE CHARINDEX(',' , @Parametro, 0) <> 0 AND CHARINDEX(',' , @Parametro,

0)
Mostrar la cita

IS NOT NULL
BEGIN
SET @valor = LEFT(@Parametro,CHARINDEX(',' , @Parametro, 0) - 1)
SET @nSecuencias = CASE WHEN CHARINDEX(',' , @Parametro, 0) = 0
THEN ''
ELSE
RIGHT(@Parametro,LEN(@Parametro) - CHARINDEX(',' , @Parametro, 0))
END
INSERT INTO #tabla
SELECT @valor
END
INSERT INTO #tabla SELECT @Parametro


Luego, simplemente realiza un JOIN con #tabla a travéz del campo.

Saludos.


Jaime Lucci



"Francizk0" wrote in message
news:
> Q tal gente otra ves acudiendo a uds.
> tengo el sgt problema o duda ??
>
> Tengo un SP el cual una de las condicion utilizon el IN , el WHERE es
> algo asi
> WHERE Campo IN ( @Parametro ) , ahi todo bien lo que ocurre es q como
> mando @Parametro si quiero q valga
> algo asi :
> @Parametro = 'xx-xxxx' , 'xx-xxxx' , 'xx-xxxx'
> yq qye solo funciona si lo mando :
> @Parametro = 'xx-xxxx', es decir con una valor
> mi duda es de que forma puedo hacer que @Parametro sea como el primer
> caso
> Utilizo Win XP y MS-SQL 2000
>
> Alguna idea????????

Otra opcion mas si te gusta ensayar y si no son muchos datos:

Usa la funcion PatIndex.

WHERE PATINDEX('%,' + Campo + ',%' , ',' + @parametros + ',' ) > 0


Las comas agregadas son a proposito. Ademas no debe haber espacios ni
apostrofes en @parametros. ejemplo: xx-xxx,xx-xxx,xx-xxx
Si Campo lleva espacios sobrantes a la izq o a la der. debes eliminarlos
con Ltrim o Rtrim.










"Francizk0" escribió en el mensaje
news:
Mostrar la cita

Q tal gente otra ves acudiendo a uds.
tengo el sgt problema o duda ??

Tengo un SP el cual una de las condicion utilizon el IN , el WHERE es
algo asi
WHERE Campo IN ( @Parametro ) , ahi todo bien lo que ocurre es q como
mando @Parametro si quiero q valga
algo asi :
@Parametro = 'xx-xxxx' , 'xx-xxxx' , 'xx-xxxx'
yq qye solo funciona si lo mando :
@Parametro = 'xx-xxxx', es decir con una valor
mi duda es de que forma puedo hacer que @Parametro sea como el primer
caso
Utilizo Win XP y MS-SQL 2000

Alguna idea????????