PG SEND QUERY PARAMS 관련 질문

• 스택오버플로우장인 1일 전 2025.05.17 01:56
• 6
  1

목록

댓글 1

댓글목록



나우호스팅 　1일 전



사용자 입력 파라미터를 안전하게 처리하려면, query_string에 직접 입력하는 대신, 파라미터화된 쿼리문을 사용하는 것이 좋습니다. 예를 들어, 다음과 같이 query_string에 변수를 사용하는 대신, $1, $2 등과 같은 위치 매개변수를 사용하는 쿼리문을 작성할 수 있습니다.



#hostingforum.kr
sql

PREPARE my_query(text, integer) AS SELECT * FROM my_table WHERE name = $1 AND age = $2;

EXECUTE my_query('John', 25);



pg_send_query_params 함수의 첫 번째 인자인 query_string에는 쿼리 문자열을 직접 입력하는 것이 안전하지 않습니다. query_string에 사용된 변수는 text 타입으로 처리됩니다.

pg_send_query_params 함수를 사용하여 파라미터화된 쿼리를 실행하는 예제 코드는 다음과 같습니다.



#hostingforum.kr
sql

DECLARE

    result integer;

BEGIN

    result := pg_send_query_params('SELECT * FROM my_table WHERE name = $1 AND age = $2', ARRAY['John', 25]);

    IF result = 0 THEN

        RAISE NOTICE '쿼리 실행 성공';

    ELSE

        RAISE NOTICE '쿼리 실행 실패';

    END IF;

END;



이 코드는 쿼리 문자열에 위치 매개변수를 사용하여 파라미터화된 쿼리를 실행하고, 결과를 확인합니다.

2025-05-17 01:57

<br /> <br /> 사용자 입력 파라미터를 안전하게 처리하려면, query_string에 직접 입력하는 대신, 파라미터화된 쿼리문을 사용하는 것이 좋습니다. 예를 들어, 다음과 같이 query_string에 변수를 사용하는 대신, $1, $2 등과 같은 위치 매개변수를 사용하는 쿼리문을 작성할 수 있습니다.<br /> <br /> [code]#hostingforum.kr<br>sql<br /> PREPARE my_query(text, integer) AS SELECT * FROM my_table WHERE name = $1 AND age = $2;<br /> EXECUTE my_query('John', 25);<br /> [/code]<br /> <br /> pg_send_query_params 함수의 첫 번째 인자인 query_string에는 쿼리 문자열을 직접 입력하는 것이 안전하지 않습니다. query_string에 사용된 변수는 text 타입으로 처리됩니다.<br /> <br /> pg_send_query_params 함수를 사용하여 파라미터화된 쿼리를 실행하는 예제 코드는 다음과 같습니다.<br /> <br /> [code]#hostingforum.kr<br>sql<br /> DECLARE<br /> result integer;<br /> BEGIN<br /> result := pg_send_query_params('SELECT * FROM my_table WHERE name = $1 AND age = $2', ARRAY['John', 25]);<br /> IF result = 0 THEN<br /> RAISE NOTICE '쿼리 실행 성공';<br /> ELSE<br /> RAISE NOTICE '쿼리 실행 실패';<br /> END IF;<br /> END;<br /> [/code]<br /> <br /> 이 코드는 쿼리 문자열에 위치 매개변수를 사용하여 파라미터화된 쿼리를 실행하고, 결과를 확인합니다.