Conectar a Postgres y hacer queries seguras

Una consulta parametrizada mantiene separados el código SQL y los valores recibidos. El pool reutiliza conexiones, pero cada operación debe liberar recursos mediante la interfaz de la biblioteca elegida; no concatena identificadores ni texto del usuario.

Ejemplo resuelto

const result = await pool.query(
  'SELECT id, title FROM courses WHERE id = $1',
  [req.params.id]
);

Para id = 7, Postgres recibe la consulta y el valor como elementos distintos. Una entrada como 7 OR 1=1 no se convierte en SQL ejecutable por concatenación.

Fixture reproducible: (id7,Node,basic), (id8,SQL,advanced), (id9,HTML,basic). La consulta SELECT id,title FROM courses WHERE level=$1 ORDER BY id con ["basic"] devuelve7 y9. En una tabla id entero, 7 OR1=1 es un valor inválido y se rechaza antes de consultar; parametrizar evita inyección, sin convertirlo en un ID válido. pool.query libera su conexión automáticamente; con pool.connect usa client.release() en finally. Una transacción requiere el mismo client para BEGIN/COMMIT/ROLLBACK.

Pruébalo

1. Define una tabla local con tres cursos identificados.

2. Ejecuta el SELECT con un parámetro numérico.

3. Prueba un valor inválido y registra la respuesta de validación antes de consultar.

Error frecuente: usar ... WHERE id = ${id}. Corrige con $1 y un array de parámetros, además de validar el tipo esperado.

Ejercicio: consulta los cursos cuyo nivel sea basic usando $1.

Comprueba tu resultado

solo aparecen los registros con ese nivel; entrega los tres registros iniciales y la salida para comprobar el filtro.