Проверка направляющих Ajax

Нет, ' не комментарий в SQL, а разделитель.

мама предположила, что программист баз данных выполнил сходство с запроса:

INSERT INTO 'students' ('first_name', 'last_name') VALUES ('$firstName', '$lastName');

(например), для добавления нового студента, где $xxx переменное содержание был взят непосредственно из HTML-формы, не проверяя формат, ни выйдя из специальных символов.

Поэтому, если $firstName содержит Robert'); DROP TABLE students; --, программа базы данных выполнит следующий запрос непосредственно на DB:

INSERT INTO 'students' ('first_name', 'last_name') VALUES ('Robert'); DROP TABLE students; --', 'XKCD');

т.е. это завершит рано оператор вставки, выполнит любой вредоносный код, который хочет взломщик, затем прокомментируйте любой остаток от кода могло бы быть.

Mmm, я являюсь слишком медленным, я уже вижу 8 ответов перед моим в оранжевой ленте...:-), популярная тема, это кажется.