Os dois pontos é um caractere comum que indica um espaço reservado para um valor de variável em uma instrução SQL. Nesse caso, esses marcadores estão sendo substituídos pelo valor de userId e project_id em tempo de execução. Isso é ótimo para evitar vulnerabilidades de injeção de SQL.