它是这样工作的: 假设管理员正在查找学生的记录

Robert'); DROP TABLE STUDENTS; --

由于admin帐户拥有很高的权限，因此可以从该帐户中删除表。

从请求中检索用户名的代码是

现在查询是这样的(搜索student表)

String query="Select * from student where username='"+student_name+"'";

statement.executeQuery(query); //Rest of the code follows

生成的查询变成

Select * from student where username='Robert'); DROP TABLE STUDENTS; --

由于用户输入没有被净化，上面的查询被操作成两个部分

Select * from student where username='Robert'); 

DROP TABLE STUDENTS; --

双破折号(——)将注释掉查询的其余部分。

这是很危险的，因为如果存在密码验证，它会使密码验证无效

第一个会进行正常的搜索。

如果帐户有足够的权限，第二个将删除表student(通常学校管理帐户将运行这样的查询，并将具有上面讨论的权限)。

假设名称用于变量$ name。然后运行这个查询:

INSERT INTO Students VALUES ( '$Name' )

该代码错误地将用户提供的任何内容作为变量。你希望SQL是:

插入学生价值观(“罗伯特表格”)

但聪明的用户可以提供他们想要的任何东西:

INSERT INTO Students VALUES ('Robert');DROP TABLE Students;——”)

你得到的是:

INSERT INTO Students VALUES ( 'Robert' );  DROP TABLE STUDENTS; --' )

——only注释该行的其余部分。

正如其他人已经指出的那样，the ');关闭原来的语句，然后第二个语句紧随其后。到目前为止，大多数框架(包括PHP等语言)都有默认的安全设置，不允许在一个SQL字符串中包含多条语句。例如，在PHP中，您只能使用mysqli_multi_query函数在一个SQL字符串中运行多条语句。

但是，您可以通过SQL注入操作现有的SQL语句，而无需添加第二条语句。假设你有一个登录系统，它检查用户名和密码，简单的选择:

$query="SELECT * FROM users WHERE username='" . $_REQUEST['user'] . "' and (password='".$_REQUEST['pass']."')";
$result=mysql_query($query);

如果你提供peter作为用户名，secret作为密码，得到的SQL字符串将如下所示:

SELECT * FROM users WHERE username='peter' and (password='secret')

一切都很好。现在，假设您提供以下字符串作为密码:

' OR '1'='1

然后得到的SQL字符串将是这样的:

SELECT * FROM users WHERE username='peter' and (password='' OR '1'='1')

这将使您可以在不知道密码的情况下登录任何帐户。因此，为了使用SQL注入，您不需要能够使用两条语句，尽管如果您能够提供多条语句，您可能会做更多破坏性的事情。

假设你天真地写了一个学生创建方法，像这样:

void createStudent(String name) {
    database.execute("INSERT INTO students (name) VALUES ('" + name + "')");
}

有人输入名字罗伯特’);降表学生;--

在数据库上运行的是这个查询:

INSERT INTO students (name) VALUES ('Robert'); DROP TABLE STUDENTS --')

分号结束插入命令并开始另一个;——注释掉了该行的其余部分。DROP TABLE命令被执行…

这就是为什么绑定参数是一个好东西。

它删除了学生表。

学校程序的原始代码可能看起来像这样

q = "INSERT INTO Students VALUES ('" + FNMName.Text + "', '" + LName.Text + "')";

这是向查询中添加文本输入的最简单的方法，非常糟糕，正如您将看到的那样。

值从第一个名字，中间名文本框FNMName。文本(是罗伯特的);降表学生;——)和姓氏文本框LName。文本(让我们称之为Derper)连接到查询的其余部分，结果实际上是两个查询由语句结束符(分号)分开。第二个查询已注入到第一个查询中。当代码对数据库执行此查询时，它将如下所示

INSERT INTO Students VALUES ('Robert'); DROP TABLE Students; --', 'Derper')

简单地说，就是这两个问题:

在student表中添加一条Name值为'Robert'的新记录

and

删除Students表

第二个查询之后的所有内容都被标记为注释:——'，'Derper')

学生名字中的'不是注释，而是结束字符串分隔符。因为学生的名字是一个字符串，所以在语法上需要它来完成假设的查询。只有当注入的SQL查询结果为有效SQL时，注入攻击才有效。

根据dan04的评论再次编辑

单引号是字符串的开始和结束。分号是语句的结束。如果他们做这样的选择:

Select *
From Students
Where (Name = '<NameGetsInsertedHere>')

SQL将变成:

Select *
From Students
Where (Name = 'Robert'); DROP TABLE STUDENTS; --')
--             ^-------------------------------^

在某些系统上，select语句会先运行，然后是drop语句!信息是:不要嵌入值到你的SQL。而是使用参数!