C# EMLOG 插件开发实战：从零手写安全接口与防注入全流程复盘

大家好，我是零点博客博主。最近在折腾 EMLOG 的二次开发，为了把 CMS 的数据灵活调取出来用在前端，我决定用 C# 写几个独立的接口服务。这过程里踩了不少坑，今天就来聊聊接口开发里的核心干货，特别是如何保证数据安全，避免辛辛苦苦写的代码被恶意 SQL 注入。

一、 需求背景：为什么我们需要 C# 接口？

EMLOG 作为轻量级 PHP 系统，虽然灵活，但在处理复杂的高并发查询或者对接第三方大平台时，PHP 做后台计算多少有点吃力。于是我们用 C# 写了一个独立的 API 服务，让前端通过 JSON 数据交互。这不光是为了性能，更是为了代码解耦。

二、 C# 后端架构搭建与数据交互

我的实现思路很简单：C# 监听一个端口，接收前端传来的参数，然后去查 MySQL 库，最后把结果以 JSON 格式返回给 EMLOG 前端或爬虫使用。

在底层代码里，我使用了 `System.Data.SqlClient` 进行数据库连接。大家注意，这里千万不要拼接字符串！一定要用预处理语句。这是防止 SQL 注入的第一道防线，也是我们接口开发中最关键的安全准则。

三、 避坑指南：SQL 注入防护与预处理实战

刚开始写的时候，我想着省事，直接把用户输入拼接到 SQL 里，结果在本地测试看着没问题，一旦数据里带了单引号就报错了。为了解决这个问题，我使用了参数化查询：

string sql = "SELECT * FROM emlog_article WHERE title LIKE @keyword";
using (SqlCommand cmd = new SqlCommand(sql, conn)) {
    cmd.Parameters.AddWithValue("@keyword", "%" + userInput + "%");
    // 执行查询...
}

这种方式能让数据库引擎直接把参数当成值处理，哪怕你输入 `' OR 1=1 --`，它也只是当作一串普通的文本字符串，绝对不会被当成命令执行。这种写法才是真正做到了防御。

四、 前端交互与正则表达式校验

C# 跑通了还得让前端能拿到数据。我用 Newtonsoft.Json 库将数据序列化。前端 JS 接收时，为了防止恶意字符破坏 UI，我又加了正则表达式校验：

// JS 伪代码示例：简单过滤 script 标签
const cleanData = userInput.replace(/.*?<\/script>/gi, "");

这套组合拳下来，无论是做 EMLOG 插件的数据调用，还是写个小型的爬虫工具，数据传输都变得异常稳当。

五、 源码案例：一个简单的 RESTful 接口模板

为了方便大家，我把核心逻辑封装成了一个可复用的方法。如果你也在做建站开发，可以直接参考这个结构：

// 接口开发核心逻辑
public string GetUserArticle(string uid) {
    string jsonResult = string.Empty;
    try {
        // 1. 参数校验
        if (string.IsNullOrEmpty(uid)) return BuildJsonError("参数缺失");

        // 2. 数据库查询（预处理防注入）
        string sql = "SELECT * FROM emlog_user WHERE uid = @uid";
        // ... 执行 SQL ...

        // 3. 返回 JSON
        jsonResult = JsonConvert.SerializeObject(dt);
    } catch (Exception ex) {
        jsonResult = BuildJsonError("系统异常：" + ex.Message);
    }
    return jsonResult;
}

六、 总结与复盘

做接口开发，千万别觉得自己技术好就不做校验。一个正则表达式，一次预处理，能省去未来无数个救火的深夜。通过这次 EMLOG 的实战，我发现合理的后端服务与 CMS 结合，能让建站效率提升不止一倍。如果你在开发过程中遇到 JSON 解析错误或者数据库连接池耗尽的问题，欢迎在评论区交流，我会一一解答。