SQL语句直接拼接用户参数，被人注入拖走整个数据库，所有数据全泄露

之前写查询功能，直接把用户传的搜索词拼到SQL语句里，根本没做参数化，结果有人传了个恶意的SQL片段，直接把我整个数据库的内容全拖走，用户信息、文章全泄露，我赶紧改成参数化查询，把参数和SQL语句分开，才把漏洞堵上。 很多新手写PHP，图省事直接把用户传的参数拼到SQL语句里，根本不知道这是最基础的SQL注入漏洞，被人一攻就直接拖走整个库。真的，写SQL一定要用参数化查询，别直接拼用户传的参数，不然被人注入，整个数据库就没了。