Java/SQL 字符串操作使 "Foo".equals ("Bar???")

Question

我从我的讲师那里得到了这个谜题

public class Exercise{
    public static void main(String[] args) {
        int foo = 10;
        assert("Foo".equals("Bar???"));
    }
}

我应该在 ??? 添加一些内容那将是我唯一可以写的地方。我一直在思考和谷歌搜索超过 2 天，但仍然没有任何线索。

这显然是 Java，但拼图的名称是 SQLInjection，这就是为什么我认为它可能与 SQL 有关。

我强烈认为我应该使用正则表达式，因为这是我能想到的唯一可以写在字符串中的东西。另外我不确定代码中的 int foo 是做什么的。

任何想法或提示将不胜感激。

Answer 1

将 ??? 替换为 ".substring(0, 0)+"Foo，您会得到:

    assert("Foo".equals("Bar".substring(0, 0)+"Foo"));

这不是 SQL 注入(inject)，但它类似于 SQL 注入(inject)(仅使用 Java 而不是 SQL，并且您手动填写代码而不是让程序执行)。