什么是 SQL 注入攻击？
SQL注入就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，服务器拿到这个字符串之后，会把这个字符串作为 sql 的执行参数去数据库查询，然而这个参数是恶意的，以至于服务器执行这条 sql 命令之后，出现了问题。
下面直接弄个案例吧，这样容易理解一些。
比如，在一个登录界面，要求输入用户名和密码，可以这样输入实现免帐号登录：
用户名： ‘or 1 = 1 --
密 码：
用户一旦点击登录，如若没有做特殊处理，那么这个非法用户就很得意的登陆进去了。这是为什么呢?
下面我们分析一下：从理论上说，后台认证程序中可能会有如下的SQL语句：
String sql = “select * from user_table where username=’ “+userName+” ’ and password=’ “+password+” ‘”;
因此，当输入了上面的用户名和密码，把参数代进去，则上面的SQL语句变成：
SELECT * FROM user_table WHERE username=’’or 1 = 1 –- and password=’’
分析上述SQL语句我们知道，username=‘ or 1=1 这个语句一定会成功；然后后面加两个-，在 sql 中，两个 – 这意味着注释，它将后面的语句注释，让他们不起作用。这样，后面的and password=’’语句将不会执行，所以上述语句永远都能正确执行，用户轻易骗过系统，获取合法身份。
应对方法