输入id=-1' union select 1,2,group_concat(username,'~~',password) from security.users;后面加入恶意语句，查询需要的数据。应用程序对用户输入的数据合法性没有过滤或者是判断，前端传入的参数是攻击者可。注入漏洞过程中人机交互的地方，用户提交的参数会被代入到数据库进行查询。以控制，并且参数带入数据库的查询，攻击者可以通过构造恶