SQL注入通常发生在直接拼接用户输入内容到SQL语句中，从而允许攻击者插入恶意代码。