【零点博客】拒绝SQL注入！从C#后端到MySQL数据库操作的完整避坑实战指南

最近在捣鼓 EMLOG 的二次开发时，发现很多新手博主在涉及 数据库操作 时，总觉得直接拼接 SQL 语句“快准狠”，结果往往踩坑。作为一个实战派博主，今天咱们不聊虚的，直接上干货，用 C# 代码来聊聊如何安全、高效地操作 MySQL 数据库。

为了让大家听得更明白，我结合了 PHP 的逻辑思维和 C# 的严谨性，复盘一个真实的开发场景。

一、为什么直接拼接 SQL 是大忌？

很多同学在写接口开发时，为了省事，喜欢这么写：

string sql = "SELECT * FROM users WHERE username = '" + username + "'";

看似没问题？当用户输入 `' OR '1'='1` 时，你的整个系统就凉凉了。这就是经典的 SQL注入防护 失败。对于 SEO 来说，数据库一旦被黑，网站内容全丢，收录直接归零。所以，我们必须走正规路径。

二、正确姿势：预处理语句（Parameterized Queries）

C# 提供了非常强大的 预处理语句 机制。这不仅仅是防御，更是性能优化的关键。

假设我们要在 EMLOG 的扩展插件里新增一条文章记录：

using MySql.Data.MySqlClient;
using System;
using System.Data;

public class DatabaseHelper
{
    private static string connStr = "Server=localhost;Database=emlog_db;User=root;Password=xxxx;CharSet=utf8mb4;";

    public static void InsertNewArticle(string title, string content)
    {
        string sql = "INSERT INTO articles (title, content, uid, inputtime) VALUES (@title, @content, 1, @time)";

        // 使用 using 确保连接池自动释放，防止内存泄漏
        using (MySqlConnection conn = new MySqlConnection(connStr))
        {
            conn.Open();
            using (MySqlCommand cmd = new MySqlCommand(sql, conn))
            {
                // 核心点：参数化绑定
                cmd.Parameters.AddWithValue("@title", title);
                cmd.Parameters.AddWithValue("@content", content);
                cmd.Parameters.AddWithValue("@time", DateTime.Now);

                int rows = cmd.ExecuteNonQuery();
                Console.WriteLine($"成功插入 {rows} 条记录");
            }
        }
    }
}

三、从数据库到前端：JSON 数据解析实战

现在的接口开发，数据格式大多以 JSON 为主。C# 操作数据库后，怎么转 JSON？

方法很简单，利用 DataTable 或 DataTableReader，配合 JavaScriptSerializer 或 Newtonsoft.Json 库：

using Newtonsoft.Json;
using System.Data;

// 查询数据
string query = "SELECT * FROM articles WHERE is_top = 1";
// ... 执行查询 ... 
DataTable dt = cmd.ExecuteReader();

// 转换为 JSON
string jsonResult = JsonConvert.SerializeObject(dt, Formatting.Indented);
// 此时 jsonResult 就可以直接返回给前端 HTML/CSS/JS 了
Console.WriteLine(jsonResult);

四、进阶技巧：正则表达式在 SQL 中的辅助应用

除了代码里的防护，前端输入的时候也可以用 正则表达式 做一层过滤。比如，在接收用户提交表单前，确保输入只包含数字和特定字符：

using System.Text.RegularExpressions;

bool isValidInput = Regex.IsMatch(userInput, "^[a-zA-Z0-9]+$");
if (!isValidInput)
{
    return BadRequest("输入包含非法字符");
}

五、避坑指南与总结

经过这几次折腾，我总结了几点经验：

连接池管理：C# 连接数据库务必使用 `using` 语句块，否则高并发下会耗尽连接数。
字符编码：MySQL 很容易乱码，连接字符串务必加上 `CharSet=utf8mb4`，支持 Emoji。
不要迷信 ORM：虽然 Dapper 和 Entity Framework 很方便，但有时候直接操作原生 SQL 配合预处理语句，在处理复杂 数据库操作 时，性能更可控。

这次复盘主要围绕 C# 和 MySQL 的结合，希望能帮大家避开安全雷区。如果你们在开发爬虫或者在线工具时遇到数据库相关的难题，欢迎在零点博客留言交流。