analisi e gestione della sicurezza di una complessa applicazione ...

6.2.5 I vantaggi nascosti
CAPITOLO VI - Gli attacchi e il progetto OWASP
Per rendere più “attraente” l’uso dei parameters nei command anche ai più scettici, vediamo
adesso quali altri vantaggi ne derivano.
Il vantaggio più evidente per lo sviluppatore riguarda i rognosi problemi dei separatori dei
decimali, date e ora. Un comando SQL che non fa uso dei parametri deve necessariamente
convertire il DateTime in stringa:
string str = "select * from orders where OrderDate>" + MyDate.ToString();
Il DateTime internamente non ha cognizione dei separatori, tanto meno del nome, dei giorni o
dei mesi. Nel Framework. .NET il DateTime è un numero a 64bit in cui ogni unità rappresenta
cento nanosecondi a partire dall’anno zero. In sostanza è un offset da una data convenzionale
ed ha una granularità molto bassa che ci permette di rappresentare con esattezza un istante
temporale.
Il risultato della conversione da DateTime a stringa è relativo a dove viene fatta la conversione.
Negli USA la data del 6 Luglio 2005 sarà 7/6/2005, in Italia 06/07/2005 ed in Svizzera
06.07.2005. Questa impostazione deriva dai settaggi internazionali di Windows associati al
profilo dell’utente il cui token ha fatto partire il processo della nostra applicazione.
123