== Las fechas ==
  OK    una fecha buena pasa tal cual
  OK    vacío cae en la de reserva
  OK    «undefined» —lo que manda el formulario a veces— también
  OK    ⚠️ una fecha con SQL adentro NO pasa
  OK    ⚠️ ni una que intente cerrar la consulta y abrir otra
  OK    y una fecha que no existe tampoco (31 de febrero)

== Las tiendas: van a un IN (...) sin comillas ==
  OK    una lista de números pasa
  OK    con espacios de más, también
  OK    ⚠️ un elemento con SQL adentro se descarta ENTERO, no a medias
  OK    y en una lista mezclada sobreviven sólo los números limpios
  OK    ⚠️ y un SELECT anidado no deja nada
  OK    sin nada válido devuelve vacío, para que quien llame use «todas»

== Los códigos de producto: son texto, se entrecomillan ==
  OK    un código normal queda entrecomillado
  OK    con letras y guiones también, que hay clientes así
  OK    ⚠️ un código que empieza con espacio NO se recorta
  OK    pero un elemento vacío sí se descarta
  OK    ⚠️ el escape NO usa barra invertida (no depende del modo del servidor)
  OK    ⚠️ y las únicas comillas sueltas son las que abren y cierran cada uno
  OK    ⚠️ una barra invertida en el código se quita, no se escapa

== El usuario: arma el nombre de una tabla temporal ==
  OK    un usuario normal pasa igual
  OK    ⚠️ y de uno con SQL no queda nada peligroso
  OK    ⚠️ ni comillas invertidas para salir del nombre

22 comprobaciones · 0 con problema