13

Últimamente me encuentro preguntas del tipo no me funciona esta consulta sql en php utilizando variables $_POST. Y después de aportar mi solución al problema que tiene el usuario, me encuentro con comentarios tipo ¡¡¡tu aplicación tiene riesgo de inyección sql!!!

Aunque pudiera ser cierto, en los ejemplos normalmente no indicamos todo el código, sino una parte de él que es en la que el usuario piensa que está el problema. Por lo cual no sabemos si en otra parte de código ha modificado el valor de las variables o ha tenido en cuenta ese problema y ya lo tiene resuelto.

Me parece (corregidme si me equivoco) que no tiene mucho sentido avisar de posibles problemas que no sabemos si los ha resuelto o no, cuando no se aporta solución al problema principal. Quiero decir, que me parece bien que se avise de ese problema DESPUÉS de haber aportado la solución de lo que busca el usuario.

También me he encontrado con "recriminaciones" (por supuesto de buen rollo, sin malos entendidos) sobre por qué no he avisado de esos posibles problemas.

¿Estoy obligado a avisar de algún problema (el cual además puedo ignorar que se pueda dar)? Me parece que eso puede tergiversar la conversación y perder el hilo de lo que se está tratando, que es solucionar el problema.

1
  • Yo soy uno de los que suelo comentar en respuestas de ese tipo. Y lo hago porque considero que no es una solución real del problema y que a veces podría crear uno peor, como podría ser una inyección SQL efectiva. También porque dar como buenas esas respuestas sin que las mismas indiquen el problema ayuda a que se siga propagando código inseguro. Hace poco hubo una discusión aquí en meta al respecto. Para mi multiplicar respuestas con código vulnerable aquí en SO es hacerle un flaco favor a la comunidad de programadores porque como sabrás otros copiarán esa respuesta como buena y segura.
    – A. Cedano
    Commented el 4 ago. 2017 a las 22:31

2 respuestas 2

17

No, no estás obligado a avisar de problemas al escribir una respuesta. Ni estás obligado a escribir una respuesta perfecta.

Pero la misma libertad que tienes tu la tiene quien vota o comenta. Cada cual pone su listón donde le parece, y hay quien pone el listón muy alto. Yo, por ejemplo, pongo el listón bastante bajo en las preguntas y bastante alto en las respuestas.

Yo votaría negativo a una respuesta con riesgo de ataque de inyección SQL y pondría un comentario. ¿Por qué? Pues porque en caso contrario habrá quien use el código de esa respuesta tal cual con los consiguientes problemas.

¿Tienes entonces que escribir tu respuesta con un código no vulnerable a ataques de inyección SQL? No necesariamente. Si esto alarga significativamente el código entonces se dificulta la comprensión de la solución a la cuestión fundamental a la que se está respondiendo. Esto de hecho empeoraría la respuesta. En este caso basta con añadir una línea de aviso.

El código anterior es vulnerable a ataques de inyección SQL y sirve solo para ilustrar cómo hacer X pero no debe ser usado tal cual.

Si recibes comentarios como los que indicas lo mejor que puedes hacer es incorporarlos a tus respuestas. En el código y respuesta si no dificultan la explicación del tema fundamental o al final como un aviso en caso contrario. Quien comenta así te está ayudando, aprovéchalo, mejorarás tu respuesta y la mayoría de esos negativos se convertirán en positivos.

2

Estoy de acuerdo con la respuesta de Jose Antonio, pero quisiera agregar lo siguiente:

Es válido ayudar, pero ponte en el lugar del OP (puede que no sepa aún) sobre los posibles riesgos de copiar y pegar código.

Con esto quier decir que tu colaboración no solo ayuda al OP sino a muchos otros usuarios de la comunidad y/o que llegan al sitio en busca de soluciones. Es por ello que debes aplicar tus conocimientos para elaborar respuestas de calidad.


He visto, por ejemplo (tanto en el sitio en inglés como aquí en Stack Overflow en Español) que alguien tiene un problema descrito mas o meno así:

Tengo X problema, al agregar este código que encontré en este enlace, me dice XYZ error, ¿cómo lo soluciono?

tl;dr Si quieres evitar que se presente esta situación, intenta elaborar una respuesta menos propensa a errores futuros.

Debes iniciar sesión para responder a esta pregunta.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta .