一个分号，网站一条注释符，注入一次错误的网站引号闭合，就能让一个看似坚固的注入网站把整个用户表吐出来。这听起来像黑客电影里的网站夸张桥段，但现实中，注入SQL注入攻击的网站成本低得惊人——只需要一个输入框和一点耐心。

我见过最典型的注入案例发生在一个小型电商后台。登录框只校验了用户名是网站否存在，密码字段直接拼接进SQL语句。注入攻击者输入' OR '1'='1，网站密码随便填，注入结果查询变成了SELECT * FROM users WHERE username='' OR '1'='1' AND password='x'。网站数据库一看，注入条件恒真，网站直接返回第一行用户记录——通常是管理员账号。整个过程不到十秒，没有暴力破解，没有漏洞扫描，纯粹是开发者少写了一行参数化查询代码。

SQL注入的本质是信任了不该信任的输入。你把用户提交的数据当成代码执行，而不是单纯的数据。这就像你让陌生人直接往你家保险柜的密码键盘上输入数字，还告诉他“随便试，反正我设了密码”。更讽刺的是，很多程序员知道这个道理，但为了省事，仍然选择用字符串拼接的方式构造SQL。

另一种隐蔽的注入发生在搜索功能里。攻击者提交%和_这两个通配符，配合LIKE语句，能让数据库扫描全表。如果表里有几百万条订单记录，一次精心构造的查询就能让数据库CPU飙升到100%，服务器直接宕机。这不是数据泄露，而是用注入实现拒绝服务攻击。你甚至不需要知道表结构，盲注就能一点一点猜出来——通过页面返回的差异，判断条件真伪，逐字符提取数据库内容。这个过程很慢，但自动化工具跑一晚上，整个库的结构就暴露无遗。

修复方案其实不复杂。参数化查询是首选，让数据库引擎把输入当纯文本处理。其次是严格过滤输入，白名单校验比黑名单可靠得多。但真正的问题在于，很多老旧系统依赖存储过程，里面的动态SQL照样拼接。改起来动静太大，于是开发者选择在应用层加个过滤器——这就像给漏水的管道缠胶带，暂时不漏，但压力一大照样崩。

我看过一份安全报告，某知名网站因为一个订单查询接口的注入漏洞，导致用户手机号和收货地址被拖库。事后调查发现，这个接口是五年前外包团队写的，代码注释里还留着“临时解决方案”的字样。五年，足够一个婴儿学会走路，却不够一个团队修复一个已知漏洞。

现实是，SQL注入不会消失。只要还有人在写SQL语句，还有人在用字符串拼接，这个漏洞就会像野草一样春风吹又生。它不需要多高深的技术，只需要一个开发者疲劳的下午，或者一个赶工期的深夜。你唯一能做的，就是假设所有输入都是恶意的，然后让数据库自己处理边界。