C# 接口开发避坑指南：SQL语句防注入与性能优化实战

最近在零点博客折腾一个 EMLOG 爬虫采集插件，在对接 MySQL 数据库时踩了不少坑。今天不整虚的，直接复盘一下后端开发中最核心的 SQL语句 编写逻辑。很多新手喜欢直接拼接字符串，看着代码短，但安全隐患巨大。下面我就结合 C# 和 MySQL，聊聊怎么写出安全又高效的 SQL语句。

一、 致命误区：手写 SQL语句拼接

最开始写接口时，为了图省事，我经常这样写：

string sql = "SELECT * FROM posts WHERE title LIKE '%" + keyword + "%'";

表面看没问题，但如果用户输入了 `张三' OR '1'='1`，SQL语句立马崩坏，导致数据泄露。这就是典型的 SQL注入 攻击。在百度和必应的收录规则里，涉及数据安全的主题权重很高，但内容的准确性更是 SEO 的生命线。

二、 真正的落地方案：预处理语句

防御 SQL注入 的终极武器是预处理语句。在 C# 中配合 MySQL，我们需要使用 `MySqlCommand` 的参数化查询。

看这段真实代码：

string sql = "SELECT * FROM posts WHERE title LIKE @Keyword";
using (MySqlConnection conn = new MySqlConnection(connectionString))
{
    conn.Open();
    using (MySqlCommand cmd = new MySqlCommand(sql, conn))
    {
        // 使用参数 @Keyword 传入数据，数据库引擎会自动进行转义
        cmd.Parameters.AddWithValue("@Keyword", "%" + keyword + "%");
        using (MySqlDataReader reader = cmd.ExecuteReader())
        {
            while (reader.Read())
            {
                // 处理数据逻辑
                Console.WriteLine(reader["title"]);
            }
        }
    }
}

这段代码确保了无论用户输入什么，SQL语句都会被视为数据而非代码执行，从根本上杜绝了 SQL注入 风险。这就是做在线工具开发必须具备的底层思维。

三、 爬虫数据清洗：正则与 JSON 的结合

在做爬虫时，我们拿到的是一堆 JSON 字符串，不能直接塞进 SQL语句。通常需要用正则表达式提取关键信息。

string jsonStr = "..."; // 获取的 HTML 或 JSON 源码
// 使用正则提取数字 ID
Regex reg = new Regex(@"id":\s*(\d+)", RegexOptions.IgnoreCase);
MatchCollection matches = reg.Matches(jsonStr);

foreach (Match match in matches)
{
    string id = match.Groups[1].Value;
    // 批量插入数据库
    InsertData(id); 
}

这里要注意，即使用了正则清洗，最后入库前依然建议使用预处理 SQL语句，形成双重保险。

四、 高并发下的 SQL语句 优化

除了安全，性能也是收录的关键。很多新手只写 `SELECT *`，其实这样很慢。我在项目中总结了几点：

• 严禁 SELECT *：只查询需要的字段，减少 IO 开销。
• 分页优化**：在数据量大时，使用 LIMIT offset, size 必须注意 offset 过大时效率极低，建议基于 ID 游标分页。
• 索引的重要性**：给 `WHERE`、`JOIN` 条件后的字段加上索引，这是提升 SQL语句 执行速度的根本。