Miért létezik egyáltalán sql injection?

Mert egy rosszul megírt oldalon azt a szöveget beilleszti egy sql kifejezésbe. Pl.:

kif = "SELECT * FROM users WHERE name ='"+nev+"';"

Ez visszaadja az adott felhasználó adatait.

Ha beírod névnek hogy "Béla", akkor ezt kapod:

SELECT * FROM users WHERE name ='Béla';

Ha beírod névnek hogy "' or '1'='1" akkor ez lesz belőle:

SELECT * FROM users WHERE name ='' or '1'='1';

Ez utóbbi mindenkinek az adatait vissza fogja adni.

Szerencsére ez már elég ritka, van arra lehetőség hogy az SQL szerverre bízzuk a paraméter feldolgozását.