problema con la sintaxis procedimiento almacenado

[nestor_rupay]

buen dia amigos foristas.
Por favor espero que me puedan ayudar, tengo un problema con la sintaxis de una sentencia prepara dentro de un procedimiento almacenado. Aqui le dejo el ejemplo, no se en que me estoy equivocando.
por favor es urgente GRACIAS DE ANTEMANO.

Paso a explicar este procedimiento: es una sentencia que tengo que actualizar tres campo, los cuales les paso por parametro.
cuando ejecuto me sale sintaxis error

Código MySQL:

DELIMITER $$
 
CREATE DEFINER=`root`@`localhost` PROCEDURE `sp_ActualizarVigencia`(
IN `tabla` VARCHAR(30) CHARSET utf8, 
IN `columna_estado` VARCHAR(30) CHARSET utf8, 
IN `columna_codigo` VARCHAR(30) CHARSET utf8, 
IN `columna_iglesia` VARCHAR(30) CHARSET utf8, 
IN `columna_region` VARCHAR(30) CHARSET utf8,
IN `columna_usuario` VARCHAR(30) CHARSET utf8,
IN `columna_fecha` VARCHAR(30) CHARSET utf8,
IN `var_codigo` INT, 
IN `var_iglesia` INT,
IN `var_region` INT,
IN `usu_eliminar`INT,
IN `f_eliminar` TIMESTAMP)
BEGIN
 
set @snt=concat('update ',tabla,' set ',columna_estado,'="No" ,',columna_usuario,'=',usu_eliminar,' , ',columna_fecha,'=',f_eliminar,'  where  ',columna_codigo,'=',var_codigo);
    prepare sent from @snt;
    execute sent;
    DEALLOCATE PREPARE sent;
 
END
 

[leonardo_josue]

Hola nestor_rupay:

Has tratado de ver qué es lo que estás tratando de ejecutar???, hay muchas cosas que pueden estar mal, por ejemplo que te falte alguna coma, que alguno de los parámetros estén llegando como NULL, que alguna palabra esté mal escrita, o inclusive, que alguno de los parámetros que estás enviando contenga una palabra reservada o algún nombre de objeto que no exista en la base de datos...

prueba imprimir el contenido de la variable @snt, el mensaje de error no te dice simplemente que tienes un error de sintaxis, sino que te dice en qué parte o cerca de qué sección está el error.

Por otro lado, lo que estás haciendo es una terrible práctica, te estás exponiendo a que te hagan inyección de código... lee un poco acerca de este tema y cómo evitarle... checa cómo se utiliza la cláusula USING para la definición de parámetros...

Saludos
Leo.

[nestor_rupay]

ok amigo leo voy a revisarlo y gracias por la recomendacion

[nestor_rupay]

Iniciado por leonardo_josue

Hola nestor_rupay:

Has tratado de ver qué es lo que estás tratando de ejecutar???, hay muchas cosas que pueden estar mal, por ejemplo que te falte alguna coma, que alguno de los parámetros estén llegando como NULL, que alguna palabra esté mal escrita, o inclusive, que alguno de los parámetros que estás enviando contenga una palabra reservada o algún nombre de objeto que no exista en la base de datos...

prueba imprimir el contenido de la variable @snt, el mensaje de error no te dice simplemente que tienes un error de sintaxis, sino que te dice en qué parte o cerca de qué sección está el error.

Por otro lado, lo que estás haciendo es una terrible práctica, te estás exponiendo a que te hagan inyección de código... lee un poco acerca de este tema y cómo evitarle... checa cómo se utiliza la cláusula USING para la definición de parámetros...

Saludos
Leo.

amigo leo
me podrias apoyar con un ejemplo de un procedimiento almacenado para evitar inyección de código.
te lo agradecere.

[gnzsoloyo]

Puede haber un problema con las comillas (no son para poner cadenas de texto), y además con los apóstrofos, ya que las cadenas de texto deben quedar entre ellos, así como las fechas, para las conversiones implícitas.
Prueba:

Código MySQL:

DELIMITER $$
 
CREATE DEFINER=`root`@`localhost` PROCEDURE `sp_ActualizarVigencia`(
    IN `tabla` VARCHAR(30) CHARSET utf8, 
    IN `columna_estado` VARCHAR(30) CHARSET utf8, 
    IN `columna_codigo` VARCHAR(30) CHARSET utf8, 
    IN `columna_iglesia` VARCHAR(30) CHARSET utf8, 
    IN `columna_region` VARCHAR(30) CHARSET utf8,
    IN `columna_usuario` VARCHAR(30) CHARSET utf8,
    IN `columna_fecha` VARCHAR(30) CHARSET utf8,
    IN `var_codigo` INT, 
    IN `var_iglesia` INT,
    IN `var_region` INT,
    IN `usu_eliminar`INT,
    IN `f_eliminar` TIMESTAMP)
BEGIN
    SET @snt=CONCAT('UPDATE ', 
                    tabla,' SET ',
                    columna_estado,' = ''NO'' ,', 
                    columna_usuario,' = ', 
                    usu_eliminar,' , ', 
                    columna_fecha,' = ''', 
                    f_eliminar,'''  WHERE  ', 
                    columna_codigo,' = ',
                    var_codigo);
    prepare sent FROM @snt;
    execute sent;
    DEALLOCATE PREPARE sent;
END
 

[leonardo_josue]

Hola nestor_rupay:

me podrias apoyar con un ejemplo de un procedimiento almacenado para evitar inyección de código.
te lo agradecere.

En mi post te dí una idea de cómo evitar el SQL inyection, pero creo que no pusiste atención:

Código:

lee un poco acerca de este tema y cómo evitarle... checa cómo se utiliza la cláusula USING para la definición de parámetros...

Si checas esta liga estoy seguro de que encontrarás algo que te pueda servir.

http://lmgtfy.com/?q=evitar+sql+inyection+en+mysql

En realidad hay muchas maneras de hacerlo, y el peligro radica en cómo estás capturando los valores de tus parámetros... este tipo de ataques por lo general se presenta cuando el usuario tiene la posibilidad de enviar estos parámetros con cualquier valor... Observa tu consulta, tienes algo como esto:

... WHERE columna_codigo, ' = ', var_codigo);

imagina que el valor de los parámetros sea 1 y 1... por lo tanto tu consulta quedaría así:

Código:

... WHERE 1 = 1

Lo que equivale a decir que actualice TODOS LOS REGISTROS DE TU TABLA . El uso de parámetros en las consultas es un método que te puede ayudar a prevenir estos ataques, pero no es el único.

Tú puedes utilizar tus propias validaciones, por ejemplo para que los parámetros no contengan palabras reservadas, o caracteres especiales como (#, ;, ', ") o simplemente no dejar abiertos los campos para los parámetros y hacerlos mediante combos de selección... es decir, hay mucha tela de donde cortar, ponte a investigar un poco y estoy seguro que encontrarás algo que te sirva,

Con respecto al error, bueno, el compañero gnzsoloyo ya te ayudo con algunos posibles errores, insisto, es cuestión de que evalúes exactamente lo que estás tratando de ejecutar para ver donde está el problema.

Saludos
Leo.