写入特殊字串(例如' or '1'='1)，让该字串形成的逻辑判断永远为真，或直接取得非查询条件的资料，而不需要知道密码，以达成非法登入系统的目的，此种攻击手法称为SQL注入（SQL injection）。目前实务上较有效的防御方法，就是全面改用参数化查询。