XQuery injection 会在以下情况中出现：

1. 数据从一个不可信赖的数据源进入程序。



2. 数据用于动态构造一个 XQuery 表达式。

示例 1：下列代码可动态构造和执行 XQuery 表达式，以根据给定用户名和密码的组合检索用户帐户。由于用户名和密码是从 HTTP 请求中读取的，因此不可信。

  ...

  String squery = "for \$user in doc(users.xml)//user[username='" + Request["username"] + "'and pass='" + Request["password"] + "'] return \$user";

  Processor processor = new Processor();

  XdmNode indoc = processor.NewDocumentBuilder().Build(new Uri(Server.MapPath("users.xml")));

  StreamReader query = new StreamReader(squery);
  XQueryCompiler compiler = processor.NewXQueryCompiler();
  XQueryExecutable exp = compiler.Compile(query.ReadToEnd());
  XQueryEvaluator eval = exp.Load();
  eval.ContextItem = indoc;

  Serializer qout = new Serializer();
  qout.SetOutputProperty(Serializer.METHOD, "xml");
  qout.SetOutputProperty(Serializer.DOCTYPE_PUBLIC, "-//W3C//DTD XHTML 1.0 Strict//EN");
  qout.SetOutputProperty(Serializer.DOCTYPE_SYSTEM, "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd");
  qout.SetOutputProperty(Serializer.INDENT, "yes");
  qout.SetOutputProperty(Serializer.OMIT_XML_DECLARATION, "no");

  qout.SetOutputWriter(Response.Output);
  eval.Run(qout);

  ...
  

在正常情况下，诸如搜索采用相应用户名和密码的用户帐户，该代码执行的表达式如下：

for \$user in doc(users.xml)//user[username='test_user' and pass='pass123'] return \$user

但是，由于这个表达式是动态构造的，由一个常数基查询字符串和一个用户输入字符串连接而成，因此只有在 username 或 password 不包含单引号字符时，才会正确执行这一查询。如果攻击者为 username 输入字符串 admin' or 1=1 or ''='，则该查询会变成：

for \$user in doc(users.xml)//user[username='admin' or 1=1 or ''='' and password='x' or ''=''] return \$user

添加条件 admin' or 1=1 or ''=' 会使 XQuery 表达式永远评估为 true。因此，该查询在逻辑上等同于更简单的查询：

//user[username='admin']

如此简化的查询会使攻击者绕过查询与密码匹配的要求；现在查询会返回文档中存储的管理用户，无论输入什么样的密码。

XQuery injection 会在以下情况中出现：

1. 数据从一个不可信赖的数据源进入程序。



2. 数据用于动态构造一个 XQuery 表达式。

示例 1：下列代码可动态构造和执行 XQuery 表达式，以根据给定用户名和密码的组合检索用户帐户。由于用户名和密码是从 HTTP 请求中读取的，因此不可信。

...

$memstor = InMemoryStore::getInstance();
$z = Zorba::getInstance($memstor);

try {
  // get data manager
  $dataman = $z->getXmlDataManager();

  // load external XML document
  $dataman->loadDocument('users.xml', file_get_contents('users.xml'));

  // create and compile query
  $express =
"for \$user in doc(users.xml)//user[username='" . $_GET["username"] . "'and pass='" . $_GET["password"] . "'] return \$user"

  $query = $zorba->compileQuery($express);

  // execute query
  $result = $query->execute();



?>
...

在正常情况下，诸如搜索采用相应用户名和密码的用户帐户，该代码执行的表达式如下：

for \$user in doc(users.xml)//user[username='test_user' and pass='pass123'] return \$user

但是，由于这个表达式是动态构造的，由一个常数基查询字符串和一个用户输入字符串连接而成，因此只有在 username 或 password 不包含单引号字符时，才会正确执行这一查询。如果攻击者为 username 输入字符串 admin' or 1=1 or ''='，则该查询会变成：

for \$user in doc(users.xml)//user[username='admin' or 1=1 or ''='' and password='x' or ''=''] return \$user

添加条件 admin' or 1=1 or ''=' 会使 XQuery 表达式永远评估为 true。因此，该查询在逻辑上等同于更简单的查询：

//user[username='admin']

如此简化的查询会使攻击者绕过查询与密码匹配的要求；现在查询会返回文档中存储的管理用户，无论输入什么样的密码。