扮演 Auditor de Código Python: N…

# Informe de Auditoría: Módulo de Gestión de Inventario en Flask

1. Alcance y Metodología

• Alcance: Revisión estática de código de aproximadamente 800 líneas en Python/Flask.
• Enfoque: Detección de vulnerabilidades de inyección SQL y problemas de concurrencia en la lógica de descuento de stock.
• Nota: Al no tener acceso al código fuente, este informe describe los patrones de riesgo más frecuentes en módulos de este tipo y cómo verificarlos.

2. Inyección SQL: Puntos de Revisión

Riesgos típicos a verificar

• Concatenación de cadenas en consultas: Buscar patrones como cursor.execute("SELECT ... " + variable) o uso de % y f-strings para construir SQL.
• Cláusulas dinámicas no parametrizadas: Filtros de búsqueda, orden (ORDER BY) y nombres de tablas/columnas son puntos críticos, pues los marcadores de posición (?, %s) no cubren identificadores.
• Falta de validación de entrada: IDs y cantidades deben validarse como enteros positivos antes de tocar la base de datos.
• ORM mal usado: Con SQLAlchemy, verificar que no existan text() con strings formateados, ni order_by(text(...)) con entrada del usuario.

Recomendaciones

• Usar consultas parametrizadas o el ORM de forma consistente.
• Validar y poner en listas blancas los campos de ordenamiento y filtrado.
• Manejar errores SQL sin exponer mensajes detallados al cliente.

3. Concurrencia en el Descuento de Stock

Problema clásico: condición de carrera

• Patrón peligroso: leer stock → comparar → actualizar. Dos peticiones simultáneas pueden leer el mismo valo