刚开始学SQL注入的时候，我完全是一头雾水。记得第一次看到' OR '1'='1这个万能密码，我还觉得特别神奇——就这么一串符号，居然能绕过登录验证？带着怀疑的态度，我在学校的实验环境试了试，真的直接进系统了，当时整个人都懵了，第一次意识到原来代码里的小漏洞会有这么大的风险。
课程里最让我头疼的就是各种注入类型。盲注那部分我反复学了好几遍，第一次做布尔盲注的实验时，我盯着页面上的“正确”“错误”提示，一点点猜数据库里的数据，跟玩解谜游戏似的。试了快半小时才猜出第一个字段，又累又有成就感。还有SQLMap这个工具，刚开始用的时候经常报错，不是参数写错就是找不到注入点，后来硬着头皮看了官方文档，跟着教程一步一步做，才慢慢摸清了门道。
让我印象最深的是自己动手写有漏洞的代码那段经历。本来觉得写个登录验证的SQL查询很简单，结果写完一测试，同学直接用注入语句把数据库里的数据全查出来了。那一刻才明白，参数化查询真不是老师讲的“套话”。现在我写代码，输入框验证都会多检查几遍，虽然麻烦点，但心里踏实多了。
学完这部分最大的收获，其实是安全意识的改变。以前总觉得攻击离我们很远，现在知道哪怕是小项目，一个没过滤好的搜索框都可能出事。现在看到新闻里哪家公司数据泄露，第一反应就是是不是SQL注入的锅，这种思维的转变还挺奇妙的。
总的来说，SQL注入这部分内容学起来挺费脑子，但真的很实用。至少现在自己写代码会多留个心眼，也算是给数据安全上了道保险吧。
