首先看万能密码`or`=`or`对于经常喜欢研究怎么入侵网站后台的人这个代码是最熟悉不过的。当登陆提交用户登陆表单时数据库会执行一下的代码sql=``select*fromuserswhereusername=``andpassword=``而我们的`or`=`or`提交进去后这段代码就会执行这样的程序sql=``select*fromuserswhereusername=``or`=`or``andpassword=``or`=`or```or`的前面一个单引号 就会和数据执行中 username=` 中的这个单引号 形成一个双引号 记得好像是由于数据库中 单引号和双引号的区分不是很明确 所以 username=``or`=`or``中的两个单引号就会误认为是合法的语法，执行的用户名就是 or`=`or这样的话 数据库会返回所有用户名 而uers数据库会认为登陆用户合法（密码同理） 而可以进入后台。
