什麼可能是以下查詢的SQL注入字符串？

Question

我們正在使用的查詢，如下所示：

FROM users u INNER JOIN FETCH u.roles where u.password='" + password + "'" + " AND u.username='" + username + "'"; 

爲了防止SQL注入，我們使用正則表達式過濾「用戶名」，只有允許的字符，如「^[A-ZA-Z0的白名單-9] * $「和‘密碼’字段中，我們使用的是支票，例如，

if(password.indexOf("'") != -1) { Sql injection attack } 

是否有攻擊者繞過我們用於發射成功的SQL注入攻擊檢查什麼方法？

我們正在使用MySQL V5.1

感謝，

Answer 1

看到，因爲它似乎主持人不同意我告訴你提高你的代碼，簡單的答案是「是的，有一個上述代碼中的缺陷「。