什么可能是以下查询的SQL注入字符串？

Question

我们正在使用的查询，如下所示：

FROM users u INNER JOIN FETCH u.roles where u.password='" + password + "'" + " AND u.username='" + username + "'"; 

为了防止SQL注入，我们使用正则表达式过滤“用户名”，只有允许的字符，如“^[A-ZA-Z0的白名单-9] * $“和‘密码’字段中，我们使用的是支票，例如，

if(password.indexOf("'") != -1) { Sql injection attack } 

是否有攻击者绕过我们用于发射成功的SQL注入攻击检查什么方法？

我们正在使用MySQL V5.1

感谢，

Answer 1

看到，因为它似乎主持人不同意我告诉你提高你的代码，简单的答案是“是的，有一个上述代码中的缺陷“。