sql 注入

Question

各位大侠们好！select * from usermsg where name = '' or true or '' and password = '';
不理解为何输入一个 ‘or true or’就能进入了，请大侠们给菜鸟讲一下，谢谢大家了。

Answer 1

or 或的意思，就相当于java里面的 || 只要有一个条件满足，整个where子句就成立

Answer 2

懂了，sql语句中只要 where 后的条件为true就能返回所有的数据。
例如：select * from usermsg where true;
      select * from usermsg where 2 > 1;
谢谢上面两位大侠！

Answer 3

jdbc的话可以用preparedStatement
或者现根据用户名查出对象，再进行密码的比较

Answer 4

HIBERNATE的话也有类似的API名字忘了 LZ如果用的话注意下