or与--不懂

JDBCDemo4.login("aaa' or '1-1","efrfref");

JDBCDemo4.login("aaa' --","efrfref");

select * from user where username = '"+username+"' and password = '"+password+"';

为什么上面两条能执行，并且成功？

源自：JDBC入门 1-1 课程介绍

收起

1回答

好帮手慕小班 2020-07-01 19:08:58

同学你好，1、MySQL中 -- 表示注释。

2、在sql语句中，将 aaa' or '1=1 拼接后就是

如上所示，or在sql中表示的意思就是其中一个条件满足都是可以得出结果的意思，而对应1=1是永远成立的，所以，这个语句就是恒成立的，后面的密码是否正确已经不重要了，因为这条语句已经可以正常执行了，查询到这条数据。

3、在sql语句中，将 aaa' -- 拼接后就是

如上所示，--表示注释，username=aaa之后的内容不执行了，这要语句也是可以正常执行，查询到这条数据。

所以将这两个内容拼接到sql语句后，这条语句是可以正常执行，查询到这条数据。

如果我的回答解决了你的疑惑，请采纳，祝学习愉快~

username="1 or 1=1"

登录后可查看更多问答，登录/注册

本阶段将带你学习MySQL数据库，JDBC接口，MyBatis框架等，带你掌握的数据的存放和管理。

问答作业

21 1

22 1

22 3

233 1

114 1

请稍等 ...

请选择置顶位置