Statement对象sql注入漏洞的问题

现在通过mysql以及oracle来测试sql注入漏洞

mysql中的注释# oracle中的注释为--

所以注入漏洞就产生了

    //登录测试
    public void login()throws Exception{
        Scanner input=new Scanner(System.in);
        System.out.println("登录名:");
        String loginname=input.nextLine();
        System.out.println("密码:");
        String password=input.nextLine();
        
        getConn();
        /*
        String sql="select *from student where name=? and password=?";
        PreparedStatement ps=(PreparedStatement) conn.prepareStatement(sql);
        ps.setObject(1,loginname);
        ps.setObject(2,password);
        System.out.println(sql);
        ResultSet rs=ps.executeQuery();
        */
        
        // * sql注入漏洞
        String sql="select *from student where name='"+loginname+"' and password='"+password+"'";
        System.out.println(sql);
        Statement s=(Statement) conn.createStatement();
        ResultSet rs=s.executeQuery(sql);
        System.out.println(sql);

        boolean flag=false;
        if(rs.next()){
            flag=true;//如果进入到循环 说明有数据 则登录成功 
        }
        if(flag){
            System.out.println("登录成功");
        }else{
            System.out.println("登录失败");
        }
        rs.close();
        closeConn();
    }