Estructura y valores de consulta

Los datos y la estructura que los procesa cumplen funciones distintas.

Los valores no son gramática

La parametrización separa la estructura de una consulta de los valores aportados mediante la interfaz de la base de datos. El término buscado sigue siendo un valor, no parte de las instrucciones. La separación debe existir al construir la consulta; llamar «parámetro» a un campo del navegador no la demuestra.

Las decisiones estructurales requieren otro tratamiento. Los parámetros de valores comunes no sustituyen nombres arbitrarios de columnas ni reglas de ordenación. El servidor puede mapear etiquetas permitidas a opciones estructurales fijas mediante funciones compatibles de su biblioteca de acceso a datos.

Especificación ficticia de búsqueda

Un catálogo permite buscar títulos y ordenar por novedades o alfabéticamente. Cada persona solo debe recibir registros de sus colecciones permitidas.

• Q1: El término se pasa como valor enlazado mediante el controlador de la base de datos.
• Q2: La interfaz ofrece «novedades» y «alfabético», pero no se documenta un mapa ni una regla de rechazo en el servidor.
• Q3: La revisión afirma que Q1 demuestra una parametrización segura de todas las entradas.

Revisar la decisión pendiente

Q1 respalda una protección del término. No establece cómo Q2 elige la estructura. Exige un mapa del servidor para las dos etiquetas y una respuesta definida ante opciones no admitidas. Eliminar puntuación no debe ser la defensa principal: un título puede contenerla legítimamente.

Incluso una consulta bien construida puede devolver registros no autorizados. Revisar el acceso a colecciones y limitar la cuenta de base de datos a las operaciones necesarias son decisiones independientes.

Condición de aprobación: Conservar valores enlazados, documentar estructura limitada y verificar el acceso a los registros devueltos.