"38356'or '1'--+'"
加固建议：
1、预编译处理&参数化查询
所有与数据库交互的业务接口均采用参数化查询，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中，参数化查询是防御SQL注入的最佳方法
2、对输入进行验证：
类型判断：字符型、整型；
长度判断：设置最大长度值；
业务参数合法性判断：比如支付金额不可能为负值这种；
特殊字符过滤：比如'，"，\，<，>，&，*，;，#，select，from，where，sub，if，union，sleep，and，or等；
验证所有的输入点，包括UA、Cookie以及其他HTTP头；