node.js - db.query 에서 ?와 ??의 차이

var queryString = `CREATE DATABASE IF NOT EXISTS ??`;
var param = ["hello"];

conn.query(queryString, param, function(err, result){

});

 SQLInjection를 방지하기 위해 변수를 쿼리 문자열에 바로 넣지 않고 parameter로 넘기는 방식이 있는데, param은 리스트로 전달된다.

 

 여기에서 리스트의 각 요소는 queryString의 ? 및 ??의 순서에 맞게 전달되는데, ?[# single question mark]와 ??[# double question mark]의 차이는 다음과 같다.

 

 단일 ?의 경우 전달받은 인자를 백틱으로 감싼다. 이때, 작성하는 쿼리문이 위의 예시와 같이 데이터베이스, 컬럼, 테이블과 관련된 대상인 경우 백틱으로 감쌌을 때 쿼리 오류가 발생하므로 ??을 사용해야한다.

 

실제로, ?로 작성한 경우 오류가 발생했다. 그러나 ??로 작성한 경우, sql injection을 시도해보았으나 인젝션 시도를 방어해주었다. 인젝션한 값 그대로 데이터베이스 이름으로 넘어가서 지우는데 귀찮음이 조금 묻어나긴 해지만..

 

 

출처.

What is the difference between single ( ? ) and double question mark ( ?? ) in node-mysql?

 역시 없는게 없는 stackoverflow...

https://www.reddit.com/r/ProgrammerHumor/comments/69uof3/programming_stack_overflow/