零点实战复盘：C#操作MySQL防注入，一文搞懂预处理语句的底层逻辑与避坑指南

最近在开发那个在线 SQL 分析工具时，我在排查日志时冷汗都下来了。一条看似无害的用户查询，竟然能把我的库表给“扒”了个精光。

一、避坑：拼接字符串是把“双刃剑”

很多新手写 C# 连接 MySQL，为了图省事，直接像下面这样拼字符串：

string sql = "SELECT * FROM users WHERE username = '" + inputUser + "'";
command.CommandText = sql;

咱们来复盘一下这个经典的 SQL 注入 场景。假设前端传来的用户名是：admin' OR '1'='1。

程序拼出来的语句瞬间变成了：`SELECT * FROM users WHERE username = 'admin' OR '1'='1'`。对吧？这压根不是查名字了，这是要把库里数据全拿出来！

二、核心干货：什么是预处理语句？

那怎么破？预处理语句 就是解决这个问题的核心方案。

别被高大上的名词吓到，原理其实特别接地气。它把“SQL 语句的骨架”和“要填进去的肉”分成了两步：

准备阶段：数据库先解析 SQL 结构（比如 `SELECT *` 是什么，表名是什么），但不执行。
绑定参数：你把用户输入的数据单独拿出来，绑定到预定义的占位符上。
执行阶段：数据库把肉填进骨架，执行。

因为骨架在数据库端已经过一层安全验证，用户输入的数据永远只是单纯的参数，不会变成可执行的代码，直接从源头上杜绝了注入风险。

三、实战：C# 代码怎么写？

在 C# 中，利用 MySQL.Data 库操作非常简单。咱们看下面这段底层拆解代码：

string connStr = "Server=localhost;Database=test;User=root;Password=123;";
string userName = "admin'; DROP TABLE users;--"; // 模拟恶意输入

using (MySqlConnection conn = new MySqlConnection(connStr))
{
    conn.Open();
    // 1. 定义带问号占位符的 SQL
    string sql = "SELECT * FROM users WHERE username = ?user AND status = 1";

    MySqlCommand cmd = new MySqlCommand(sql, conn);

    // 2. 绑定参数，注意这里传的是参数名
    cmd.Parameters.AddWithValue("?user", userName);

    // 3. 执行查询
    using (MySqlDataReader reader = cmd.ExecuteReader())
    {
        while (reader.Read())
        {
            Console.WriteLine(reader["username"]);
        }
    }
}

看到了吗？在 SQL 字符串里，用户输入的内容只是变成了一个 ? 占位符。无论输入什么乱码、SQL 关键字，数据库都会把它当成字符串字面量处理。

四、源码案例与避坑指南

在我做的那个在线工具里，为了封装这个逻辑，我写了一个简单的 ORM 辅助类。开发爬虫或后端接口时，记好这几个避坑点：

参数顺序必须一致：C# 的 `AddWithValue` 是按顺序绑定的，别搞反了。
重用命令对象：如果你的工具需要高并发，别每次都 `new MySqlCommand`，可以用 `Prepare()` 方法复用命令句柄，性能提升明显。
事务回滚：如果涉及到复杂的 SQL 操作，配合预处理语句使用 `SqlTransaction`，一旦出错能立马回滚，保证数据一致性。

总之，写了这么多年代码，虽然语言在变，但从 C# 到 PHP，再回到 C#，预处理语句 永远是防御 SQL 注入的第一道防线，也是咱们开发者必须吃透的底层基本功。