为什么包含'的MYSQL字符串不安全？

Question

伙计们，我是mysql安全的新手，当我在google上搜索这个问题时，很多人警告我们应该检查mysql字符串，看看它是否包含'，否则你有冒险mysql数据库注入了，但是他们没有告诉你为什么？能不能告诉我原因？非常感谢你。

Answer 1

想象一下，您有一个用户表和一个登录表单。通常，当用户登录时，您想确定他是否拥有帐户：

这是非常糟糕的PHP：

"SELECT * FROM users WHERE username = '$username' AND password = MD5('$password');"

现在您的用户名为

  

1'; DROP TABLE用户;＃

会发生什么？