表單遭到SQL注入攻擊

表單的攻擊被稱為一種SQL注入攻擊，這里用到一種極其狡猾的手段，使用表單數據作為一種途徑來修改查詢的基本操作。所以表單域并不只是提供一段信息。如用戶或其它數據，它還會擾亂SQL查詢本身。對于SQL注入使用了其它的一個域作為手段，不僅可以提供數據，還提供了截屏圖文件名和批準值，一起最后的一個注釋來防止原SQL代碼生成一個錯誤。

表單域是web應用的一個安全漏洞，因為它們允許用戶輸入數據。在SQL中還有其它類型的注釋，單行注釋的另一種變型需要用到#而不是--，不過它同樣會將注釋之后直到行末的SQL代碼注釋掉。SQL還支持多行注釋，與PHP 的多行注釋相似，也是將注釋代碼包圍在/*和*/之間。

如果approved列不在數據庫表的最后一列，SQL注入攻擊就不能起到作用了。這一點非常重要，這個特定的INSERT查詢依賴于表中列的默認順序。在查詢的左后增加1之所以恰好能生效，其原因就在于approved是最后一列，就在screenshot列后面。