Foro - Perl en Español

¿Qué tal?

Molestándolos de nuevo con su valioso apoyo.

Estoy tratando de evitar la inyección de instrucciones SQL, pero aun no encuentro la manera adecuada de hacerlo. He buscado en Internet pero los ejemplos que hay son en PHP y en la mayoría lo que hacen es sustituir los caracteres (' / "" ) por cadenas vacías.

¿Existe en Perl algún módulo para evitar la inyección de código SQL o alguna función para poder evitar esto?

En la página de Wikipedia sobre la inyección SQL tienes ejemplos básicos de cómo evitarlo. En la parte de Perl se comentan dos métodos básicos: usar el método quote() de DBI o los placeholder. De estos dos métodos, el más usado, y con diferencia (por ser muy cómodo) es el de los placeholder:


Ya ves: con solo usar el carácter '?' y luego, en el execute(), pasar los argumentos, DBI se encarga de pasar los argumentos completamente separados de la orden SQL.

Naturalmente, si se trata de no fiarse de los argumentos pasados por el usuario a nuestro programa, la opción -T es de uso obligado.

Un sitio dedicado a este tema es el de bobby-tables, con ejemplos para muchos lenguajes.

Gracias, "explorer", por tu respuesta. Lo revisaré y estaré haciendo pruebas para evitar eso.

Saludos