拼接SQL没做预编译，被人注入语句，整个数据库用户表全被拖走

之前写查询功能，直接把用户传的输入拼进SQL语句里，根本没做预编译，结果有人传了段恶意SQL，直接绕过查询，把我整个数据库的用户表全拖走，还删了一半数据，我吓得赶紧把所有查询改成预编译参数绑定，才堵住这个漏洞，之前的教训太惨了。 很多新手写PHP，图方便直接把用户输入拼进SQL语句里，根本不用预编译，结果被人SQL注入，直接拖走整个数据库的数据，损失特别大。真的，所有数据库查询一定要用预编译，参数绑定，别直接拼SQL，不然一个小漏洞，整个库的数据全没了。