Что это
Если программа подставляет введённый текст прямо в запрос к базе данных, то вместо имени можно ввести команду, и база её исполнит. Так выгружают списки клиентов и удаляют таблицы.
Как от этого защищаются
Стандартный приём известен десятилетия: данные от пользователя передаются в базу отдельно от самой команды, а не склеиваются с ней в одну строку. Любой профильный специалист знает это как базовое требование.
Почему это важно вам
Для школы или практики цена такой дыры - не поломанный сайт, а утёкшая база учеников с телефонами и почтами: репутационный ущерб плюс ответственность за персональные данные. Это ровно тот случай, когда «работает же» не означает «безопасно».