Уязвимость в стиле "admin" or 1=1/*

В коде присутствует проверка и на сессии, Через get запрос я пытался.

То есть как правильнее подставить запрос "admin or 1=1/*" и почему это работает так, а не как то иначе?