PreparedStatement por dentro: parámetros frente a inyección SQL

1import java.time.LocalDate;
2import java.time.format.DateTimeParseException;
3import java.util.ArrayList;
4import java.util.List;
5import java.util.Scanner;
6
7/** Un parámetro: su tipo (texto, numero, fecha o nulo) y su valor tal como llega. */
8record Parametro(String tipo, String valor) {
9    /** Como lo pondría un PreparedStatement: los textos entre comillas y con cada comilla doblada. */
10    String seguro() {
11        return switch (tipo) {
12            case "texto", "fecha" -> "'" + valor.replace("'", "''") + "'";
13            case "numero" -> valor;
14            default -> "NULL";
15        };
16    }
17
18    /** Como lo pondría quien concatena: el valor pegado tal cual entre comillas. */
19    String concatenado() {
20        return switch (tipo) {
21            case "texto", "fecha" -> "'" + valor + "'";
22            case "numero" -> valor;
23            default -> "NULL";
24        };
25    }
26}
27
28class Sentencia {
29    private final String sql;
30    private final List<Integer> huecos = new ArrayList<>();    // posición de cada ? fuera de las comillas
31    private final List<Parametro> parametros = new ArrayList<>();
32
33    Sentencia(String sql) {
34        this.sql = sql;
35        boolean enTexto = false;
36        for (int i = 0; i < sql.length(); i++) {
37            char c = sql.charAt(i);
38            if (c == '\'') enTexto = !enTexto;      // '' dentro de un texto cierra y vuelve a abrir: sigue dentro
39            else if (c == '?' && !enTexto) huecos.add(i);
40        }
41        if (enTexto) throw new IllegalArgumentException("hay una comilla sin cerrar");
42    }
43
44    int huecos() { return huecos.size(); }
45    int parametros() { return parametros.size(); }
46
47    boolean anadir(Parametro p) {
48        if (parametros.size() == huecos.size()) return false;
49        parametros.add(p);
50        return true;
51    }
52
53    List<Parametro> getParametros() { return parametros; }
54
55    /** El SQL con cada ? sustituido por su parámetro, de forma segura o concatenando. */
56    String montar(boolean seguro) {
57        StringBuilder sb = new StringBuilder();
58        int desde = 0;
59        for (int k = 0; k < huecos.size(); k++) {
60            sb.append(sql, desde, huecos.get(k));
61            Parametro p = parametros.get(k);
62            sb.append(seguro ? p.seguro() : p.concatenado());
63            desde = huecos.get(k) + 1;
64        }
65        return sb.append(sql.substring(desde)).toString();
66    }
67
68    void limpiar() { parametros.clear(); }
69}
70
71public class Main {
72    public static void main(String[] args) {
73        Scanner sc = new Scanner(System.in);
74        Sentencia s = null;
75        int ejecuciones = 0, peligrosas = 0;
76        while (sc.hasNextLine()) {
77            String linea = sc.nextLine().trim();
78            if (linea.isEmpty()) continue;
79            String[] p = linea.split(" ", 2);
80            String orden = p[0], valor = p.length > 1 ? p[1] : "";
81            switch (orden) {
82                case "consulta" -> {
83                    try {
84                        s = new Sentencia(valor);
85                        System.out.println("Consulta preparada: " + s.huecos() + (s.huecos() == 1 ? " parámetro" : " parámetros"));
86                    } catch (IllegalArgumentException e) {
87                        s = null;
88                        System.out.println("Consulta no válida: " + e.getMessage());
89                    }
90                }
91                case "texto", "numero", "fecha", "nulo" -> {
92                    if (s == null) {
93                        System.out.println("Primero hace falta una consulta");
94                    } else if (orden.equals("numero") && !valor.matches("-?\\d+(\\.\\d+)?")) {
95                        System.out.println("numero «" + valor + "» rechazado: no es un número");
96                    } else if (orden.equals("fecha") && !fechaValida(valor)) {
97                        System.out.println("fecha «" + valor + "» rechazada: no es una fecha AAAA-MM-DD válida");
98                    } else if (!s.anadir(new Parametro(orden, valor))) {
99                        System.out.println("Sobra el parámetro: la consulta solo tiene " + s.huecos());
100                    }
101                }
102                case "ejecutar" -> {
103                    if (s == null) {
104                        System.out.println("Primero hace falta una consulta");
105                    } else if (s.parametros() < s.huecos()) {
106                        System.out.println("Faltan parámetros: hay " + s.parametros() + " de " + s.huecos());
107                    } else {
108                        ejecuciones++;
109                        System.out.println("Ejecución " + ejecuciones);
110                        System.out.println("  Concatenando: " + s.montar(false));
111                        System.out.println("  Preparada:    " + s.montar(true));
112                        boolean peligro = false;
113                        for (Parametro par : s.getParametros()) {
114                            if (par.tipo().equals("texto") && par.valor().contains("'")) {
115                                System.out.println("  ¡Cuidado! «" + par.valor() + "» rompe la consulta concatenada: así entra la inyección SQL");
116                                peligro = true;
117                            }
118                        }
119                        if (peligro) peligrosas++;
120                        s.limpiar();
121                    }
122                }
123                default -> System.out.println("Orden desconocida: " + orden);
124            }
125        }
126        System.out.println("Ejecuciones: " + ejecuciones + "; en " + peligrosas + " la concatenación habría permitido inyección SQL");
127    }
128
129    static boolean fechaValida(String v) {
130        try {
131            LocalDate.parse(v);         // ISO estricto: 2024-02-30 no existe
132            return true;
133        } catch (DateTimeParseException e) {
134            return false;
135        }
136    }
137}