有些網站將直接拿用戶的輸入 來拼接SQL語句，進行查詢等操作，同時也將錯誤信息暴露給用戶。
這就給不懷好意的同學可乘之機，利用輸入一些奇特的查詢字符串，拼接成特定的SQL語 句，即可達到注入的目的。不僅可以獲取數據庫重要信息，權限沒有設置好的話甚至可以刪除掉整個表。因此，SQL注入漏洞還是相當的嚴重的。發現以前偶剛學 寫的網站的時候也是靠拼接SQL語句吃飯滴……
示例
爲了更好了學習和了解SQL注入的方法，做了一個示例網頁，界面如下： 
點擊登陸這塊的代碼如下，注意第5行，我們使用了拼接SQL語句：
private void Login()
{
string uname = tbName.Text;
string pwd = tbPassword.Text;
string sqlCmd = "select * from [Users] where UserName = '" + uname + "'";
string sqlCmdRep = sqlCmd.Replace("Users", "XXX").Replace("UserName", "XXX");
lbSQL.Text = sqlCmdRep;
try
{
DataTable dt = DataSQLServer.GetDataTable(sqlCmd);
gvResult.DataSource = dt;
gvResult.DataBind();
if (dt.Rows.Count == 1 && pwd == dt.Rows[0]["Password"].ToString())
{
lbRes.Text = dt.Rows[0]["UserName"] + " Login Success!";
}
else if(dt.Rows.Count == 0)
{
lbRes.Text = uname + " not exist!";
}
else
{
lbRes.Text = "Login Fail!";
}
}
catch (Exception ex)
{
lbRes.Text = "Error: " + ex.Message;
}
}