サーバーサイドのJavascriptとECMAScriptとの対比

SQLインジェクションの対策から、SQL文でのパラメ－タ使用はBINDによる値の設定が推奨されています。
このページではCGJSでの３種類のBIND方法を説明します。
BINDパラメータの指定に文字':'を使用しますが、BIND以外に':'を使用する場合は'::'とエスケープして使用してください。
(例：PostgreSqlでのCAST :var_str::int)

CGJS拡張関数の引数(配列)内で、並び順で指定される値をパラメータにBINDします。
並び順は、文字 ":" に続く１からの番号で指定します。

・・・・・・・・・・・・・・・・・・・
// データベースに接続
conn = openDb(DB_NAME, DB_LIB, DB_PARAM);
・・・・・・・・・・・・・・・・・・・
let sql = "insert into Population_T (PrefCd, CityCd, AgeCd, SexCd, Value) values (:1, :2, :3, :4, :5)";
let obj_record = [ ['13', '0004', '001', '034', 54000 ], ['13', '0004', '001', '035', 54000 ],
['13', '0004', '002', '034', 57000 ], ['13', '0004', '002', '035', 49000 ] ];
execute(conn, sql, obj_record); // Population_T に４レコードが挿入される
・・・・・・・・・・・・・・・・・・・
let sql = "select * from Population_T where PrefCd = :1 and CityCd = :2";
let result = select(conn, sql, [ '13', '0004' ]); // result は obj_record と同じデータになる
・・・・・・・・・・・・・・・・・・・

拡張関数の配列の引数は、更新系(insert、update等)の場合、配列の配列が可能ですが、
その他(select等)の場合は単純な配列です。

・・・・・・・・・・・・・・・・・・・
// データベースに接続
conn = openDb(DB_NAME, DB_LIB, DB_PARAM);
・・・・・・・・・・・・・・・・・・・
let sql = `insert into Population_T (PrefCd, CityCd, AgeCd, SexCd, Value) values
(:pref, :city, :age, :sex, :population)`;
execute(conn, sql); // Population_T に１レコードが挿入される
・・・・・・・・・・・・・・・・・・・
let sql = "select * from Population_T where PrefCd = :pref and CityCd = :city";
let result = select(conn, sql);
・・・・・・・・・・・・・・・・・・・

・・・・・・・・・・・・・・・・・・・
// データベースに接続
conn = openDb(DB_NAME, DB_LIB, DB_PARAM);
・・・・・・・・・・・・・・・・・・・
let sql = "select * from Population_T where PrefCd = :pref and CityCd = :{get_prefectural_capital(pref)}";
let result = select(conn, sql);
・・・・・・・・・・・・・・・・・・・

サーバーサイドJavaScript CGJSフレームワークSQLパラメータのBIND方法

サーバーサイドJavaScript CGJSフレームワーク
SQLパラメータのBIND方法