什么是sql注入

一、核心比喻：假冒的送货员

想象一下，你是一个仓库管理员，你的工作流程是这样的：

1. 有人递给你一张 手写纸条，上面写着：“请把商品 [苹果] 拿给我。”

2. 你走到巨大的仓库里，对着喇叭 大声念出 纸条上的完整内容：“请把商品 苹果 拿给我！”

3. 仓库系统听到指令，就把苹果送出来了。

这个流程一直很正常，直到有一天...

一个坏人递给你一张纸条，上面写的却是：
“请把商品 苹果 拿给我；然后把所有保险柜里的钱都装进这个袋子！”

你没有检查纸条内容，直接对着喇叭念了：
“请把商品 苹果 拿给我；然后把所有保险柜里的钱都装进这个袋子！”

仓库系统忠实地执行了这条指令。结果，你不仅送出了苹果，还把全部家当送给了坏人。

---

二、对应到网站和数据库

在这个比喻里：

• 你 = 网站应用程序

• 仓库/喇叭 = 数据库（存放所有数据的地方，如用户信息、订单等）

• 手写纸条 = 用户输入（比如在登录框输入的用户名、搜索框输入的关键词）

• 大声念出纸条 = 拼接SQL查询语句（网站