npm mysql2 라이브러리에서 query와 execute 메서드 비교

MySQL2 라이브러리에서 query와 execute 메서드의 차이점은 Node.js와 MySQL을 사용하는 개발자들이 보안성과 성능을 고려할 때 중요한 부분입니다. 이 글에서는 query와 execute의 개념, 차이점, 그리고 각각의 사용 예시를 중심으로 자세히 설명하겠습니다.

1. mysql2 라이브러리 소개

mysql2는 Node.js에서 MySQL 데이터베이스와 상호작용하는 라이브러리입니다. MySQL의 기본 기능을 제공하면서도 성능 향상과 추가 기능들을 갖춘 라이브러리로, MySQL뿐만 아니라 MariaDB에서도 사용할 수 있습니다. 이 라이브러리는 비동기적으로 작동하며, Promises나 async/await와 함께 사용할 수 있어 최신 JavaScript 문법과 잘 어우러집니다.

특히 mysql2에서는 쿼리를 실행하기 위해 두 가지 주요 메서드를 제공합니다. 바로 query와 execute입니다. 이 두 메서드는 비슷해 보이지만, 중요한 차이점들이 있으며, 이를 잘 이해하면 보안성과 성능을 향상시킬 수 있습니다.

---

2. query 메서드

2.1. 개념

query 메서드는 단순하게 SQL 쿼리를 실행하는 방법입니다. 이때 SQL 쿼리와 필요한 파라미터를 하나의 문자열로 전달합니다. MySQL 서버에 전달된 SQL 쿼리는 서버에서 실행되고, 결과는 콜백 함수 또는 Promise로 반환됩니다.

2.2. 특징

• 간단한 사용 방식: query는 단순한 SQL 쿼리 실행을 필요로 할 때 주로 사용됩니다. 별도의 준비 작업이 필요 없으므로 코드가 간결해질 수 있습니다.
• 보안 취약성: query는 SQL Injection 공격에 더 취약할 수 있습니다. 파라미터가 쿼리 문자열에 직접 포함되므로, 의도하지 않은 SQL 코드가 실행될 가능성이 있습니다.
• Prepare 과정 없음: query는 Prepared Statement를 사용하지 않기 때문에 SQL 쿼리가 매번 새롭게 컴파일됩니다. 쿼리 실행의 효율성 측면에서 불리할 수 있습니다.

2.3. 사용 예시

const sql = "SELECT * FROM users WHERE id = 1";
connection.query(sql, (error, results) => {
  if (error) {
    console.error(error);
    return;
  }
  console.log(results);
});

위 예시는 query 메서드를 사용하여 id가 1인 사용자를 조회하는 간단한 SQL 쿼리입니다. 하지만 id 값을 문자열에 직접 포함시키기 때문에 SQL Injection에 대한 대비가 부족한 방식입니다.

---

3. execute 메서드

3.1. 개념

execute 메서드는 Prepared Statement를 사용하여 SQL 쿼리를 실행하는 방법입니다. 쿼리와 데이터를 분리하여 전달하며, 이는 SQL Injection 공격을 예방할 수 있는 안전한 방법입니다.

Prepared Statement는 SQL 쿼리에서 실제 데이터가 들어갈 자리를 ? 형태의 플레이스홀더로 비워둔 후, 데이터를 배열 형태로 따로 전달하는 방식입니다. 이 방식은 쿼리 성능을 최적화하고, 보안성을 높입니다.

3.2. 특징

• 보안 강화: 파라미터와 쿼리를 분리하여 처리하기 때문에, SQL Injection 공격을 효과적으로 방지할 수 있습니다.
• 쿼리 성능 향상: Prepared Statement는 SQL 쿼리를 한 번 컴파일하여 여러 번 재사용할 수 있습니다. 자주 실행되는 동일한 쿼리에 대해 성능 이점을 제공하며, 데이터만 변경되더라도 쿼리 성능을 최적화할 수 있습니다.
• 코드 가독성 향상: 파라미터와 쿼리가 분리되므로 코드가 더 가독성이 좋으며 유지보수하기도 쉬워집니다.

3.3. 사용 예시

const sql = "SELECT * FROM users WHERE id = ?";
const values = [1];
connection.execute(sql, values, (error, results) => {
  if (error) {
    console.error(error);
    return;
  }
  console.log(results);
});

위 예시에서는 execute 메서드를 사용하여 Prepared Statement를 실행합니다. SQL 쿼리에서 id 자리는 ?로 표시되었으며, 그 값은 별도의 배열로 전달됩니다. 이렇게 쿼리와 데이터를 분리하여 전달함으로써 보안성과 성능이 향상됩니다.

---

4. query와 execute 비교

이제 두 메서드의 주요 차이점을 요약해보겠습니다.

특징	query	execute
보안성	SQL Injection에 취약	Prepared Statement로 SQL Injection 방어
쿼리 실행 방식	단순 문자열 쿼리 실행	파라미터 분리, Prepared Statement 사용
성능	매번 쿼리 컴파일	한 번 컴파일 후 재사용 가능
코드 가독성	파라미터를 직접 문자열에 포함	파라미터와 쿼리 분리
사용 예시	query('SELECT * FROM users WHERE id = 1')	execute('SELECT * FROM users WHERE id = ?', [1])

4.1. 보안 측면

query는 단순히 문자열로 쿼리를 전달하기 때문에, 입력 값에 따라 SQL Injection 공격에 쉽게 노출될 수 있습니다. 반면, execute는 Prepared Statement를 사용하므로 쿼리와 데이터를 분리하여 처리합니다. 이를 통해 데이터가 SQL 쿼리 내부에 직접 포함되지 않으므로, SQL Injection 공격을 방지할 수 있습니다.

4.2. 성능 측면

query는 매번 쿼리를 새롭게 컴파일하기 때문에 성능이 저하될 수 있습니다. 특히 동일한 쿼리를 반복적으로 실행해야 하는 경우에는 비효율적입니다. 반면, execute는 Prepared Statement로 쿼리를 한 번 컴파일한 후 재사용할 수 있어 성능이 향상됩니다. 특히 반복적인 쿼리 실행 시 큰 차이를 보입니다.

4.3. 사용성 측면

코드 작성 시에도 execute가 더 가독성이 높습니다. 파라미터와 쿼리를 분리하여 처리할 수 있어 유지보수와 코드의 가독성이 개선됩니다. 특히 복잡한 쿼리에서 여러 파라미터를 처리해야 할 때, 코드의 명확성이 더욱 두드러집니다.

---

5. 결론

mysql2 라이브러리에서 제공하는 query와 execute 메서드는 각각의 장단점이 있습니다. 간단한 쿼리를 빠르게 실행해야 할 때는 query를 사용할 수 있지만, 보안과 성능이 중요한 경우 execute 메서드를 사용하는 것이 좋습니다. 특히 SQL Injection 공격에 대비하고, 자주 실행되는 쿼리의 성능을 최적화하려면 execute 메서드를 사용하는 것이 권장됩니다.