数据库注入攻击

1、' or '1'='1

其利用的是 sql.Format("select * from JyUser where UserId='%s' and Passwords='%s' and UserState=1",userId,passwords)语句，当把' or '1'='1放到登录名或密码位置时，其就会修改数据库查询的命令，把原来的条件限制直接去掉。