Por que usar Parametro y no SQL tradicional

Habla claro .
Que es tu SQL tradicional?



Miao...
Comprate un libro.

Mostrar la cita

Hola chicos, he visto que en la mayoria de los ejemplos

ahora usan
Mostrar la cita

parametros para introducir informacion en la base de

datos, por que usar
Mostrar la cita

Parametros en ves de nuestro SQL tradicional de

inserción.
Mostrar la cita

Gracias.
Don Quijote de Nicaragua


.

Concatenar la data ingresada por el usuario en la sentencia SQL tiene dos
inconvenientes.

El primero es con el formato de la data. Por ejemplo si quieres insertar en
un campo texto que contiene un ' dara error o deberas duplicar los ' para
que SQL no lo entienda como final del texto. Tambien puedes tener problemas
de formato con las fechas si las concatenas. Esto no sucede si se usan
parametros.

Lo segundo y mas importante es por seguridad. Un usuario malintencionado
puede ingresar sentencias SQL dentro de tu sentencia lo cual puede ser muy
peligroso en combinacion con una cuenta de usuario con demasiados permisos.
Un ejemplo, supongamos que tienes esta sentencia:

SQL = "SELECT * FROM Tabla WHERE Campo = '" & buscar.Text & "'"

Un usuario malintencionado puede ingresar en el campo buscar algo asi:

'; DROP TABLE Tabla --

Lo que ocasiona estas sentencias como resultado de la concatenacion:

SELECT * FROM Tabla WHERE Campo = ''; DROP TABLE Tabla --'

Resultando en la eliminacion de la tabla. De esta misma forma se podria
hacer cualquier cosa como por ejemplo, si es contra SQL Server, ejecutar el
procedimiento almacenado xp_cmdshell y formatear el disco rigido. Usando
parametros te evitas esto ya que el texto del parametro no se concatena con
el comando sql sino que es tomado como texto.

Eduardo A. Morcillo [MS MVP VB]
http://www.mvps.org/emorcillo
https://mvp.support.microsoft.com/p...4EF5A4191C

A cuantas conferencias asistes de Microsoft porque ya
tienen el disco rallado con SQLInjectionSecurity es lo
unico que saben decir.


Miao...
Comprate un libro.

Mostrar la cita

Concatenar la data ingresada por el usuario en la

sentencia SQL tiene dos
Mostrar la cita

inconvenientes.

El primero es con el formato de la data. Por ejemplo si

quieres insertar en
Mostrar la cita

un campo texto que contiene un ' dara error o deberas

duplicar los ' para
Mostrar la cita

que SQL no lo entienda como final del texto. Tambien

puedes tener problemas
Mostrar la cita

de formato con las fechas si las concatenas. Esto no

sucede si se usan
Mostrar la cita

parametros.

Lo segundo y mas importante es por seguridad. Un usuario

malintencionado
Mostrar la cita

puede ingresar sentencias SQL dentro de tu sentencia lo

cual puede ser muy
Mostrar la cita

peligroso en combinacion con una cuenta de usuario con

demasiados permisos.
Mostrar la cita

Un ejemplo, supongamos que tienes esta sentencia:

SQL = "SELECT * FROM Tabla WHERE Campo = '" &

buscar.Text & "'"
Mostrar la cita

Un usuario malintencionado puede ingresar en el campo

buscar algo asi:
Mostrar la cita

'; DROP TABLE Tabla --

Lo que ocasiona estas sentencias como resultado de la

concatenacion:
Mostrar la cita

SELECT * FROM Tabla WHERE Campo = ''; DROP TABLE Tabla --

'
Mostrar la cita

Resultando en la eliminacion de la tabla. De esta misma

forma se podria
Mostrar la cita

hacer cualquier cosa como por ejemplo, si es contra SQL

Server, ejecutar el
Mostrar la cita

procedimiento almacenado xp_cmdshell y formatear el

disco rigido. Usando
Mostrar la cita

parametros te evitas esto ya que el texto del parametro

no se concatena con
Mostrar la cita

el comando sql sino que es tomado como texto.

Eduardo A. Morcillo [MS MVP VB]
http://www.mvps.org/emorcillo
https://mvp.support.microsoft.com/p...73D2-BD48-

4197-A380-104EF5A4191C
Mostrar la cita

.

Muchas gracias por tu explicación Eduardo, lo de formatiar el disco duro me
dejo muy preocupado, jejeje.
Saludos desde Nicaragua.
Don Quijote de Nicaragua.

"Eduardo A. Morcillo [MS MVP VB]" <emorcillo .AT. mvps.org> escribió en el
mensaje news:
Mostrar la cita

Concatenar la data ingresada por el usuario en la sentencia SQL tiene dos
inconvenientes.

El primero es con el formato de la data. Por ejemplo si quieres insertar

en
Mostrar la cita

un campo texto que contiene un ' dara error o deberas duplicar los ' para
que SQL no lo entienda como final del texto. Tambien puedes tener

problemas
Mostrar la cita

de formato con las fechas si las concatenas. Esto no sucede si se usan
parametros.

Lo segundo y mas importante es por seguridad. Un usuario malintencionado
puede ingresar sentencias SQL dentro de tu sentencia lo cual puede ser muy
peligroso en combinacion con una cuenta de usuario con demasiados

permisos.
Mostrar la cita

Un ejemplo, supongamos que tienes esta sentencia:

SQL = "SELECT * FROM Tabla WHERE Campo = '" & buscar.Text & "'"

Un usuario malintencionado puede ingresar en el campo buscar algo asi:

'; DROP TABLE Tabla --

Lo que ocasiona estas sentencias como resultado de la concatenacion:

SELECT * FROM Tabla WHERE Campo = ''; DROP TABLE Tabla --'

Resultando en la eliminacion de la tabla. De esta misma forma se podria
hacer cualquier cosa como por ejemplo, si es contra SQL Server, ejecutar

el
Mostrar la cita

procedimiento almacenado xp_cmdshell y formatear el disco rigido. Usando
parametros te evitas esto ya que el texto del parametro no se concatena

con
Mostrar la cita

el comando sql sino que es tomado como texto.

Eduardo A. Morcillo [MS MVP VB]
http://www.mvps.org/emorcillo

https://mvp.support.microsoft.com/p...4EF5A4191C
Mostrar la cita