SQL Injection 방지

개념

웹서버가 DB로 쿼리를 날릴 때 악의적인 구문 삽입한 후 실행되도록 공격

 

나쁜 예 

쿼리와 파라미터 단순 조합

 

const sql = 'SELECT * FROM USER WHERE id=' + id;

또는

const sql = `SELECT * FROM USER WHERE id=${id}`

 

 

좋은 예

 

escapse()함수

 

또는 

? 와 replace 방식

mybatis 같은 방식