不规范的代码，比如拼接sql 却没有进行参数化验证，或者在前端验证完参数就以为是安全的输入，这些都很容易被绕过，导致sql注入。

防注入的方法：
1 参数化验证。不同的语言都应该封装了这种方法，比如说c#,java的sqlparameter .
2 对参数进行过滤。严格的白名单进行参数过滤。