零点博客：C#开发必看，MySQL预处理语句实战与SQL注入防护避坑指南

哈喽，大家好，我是零点博客的主理人。今天咱们不聊虚的，来聊聊所有后端开发（特别是C#）的核心命门——SQL注入防护。在开发C#项目或者对接EMLOG这类CMS的插件时，如何通过预处理语句彻底杜绝安全隐患？这篇文章我将结合底层原理和实战源码，带你彻底搞懂它。

一、为什么需要预处理语句？

在写C#代码时，我见过很多新手为了图省事，喜欢像拼积木一样拼接SQL字符串：

string sql = "SELECT * FROM users WHERE id = " + userId;

乍一看没问题，但如果 userId 是用户输入的参数，比如传入 `1 OR 1=1`，你的SQL逻辑就全崩了。这就是经典的SQL注入攻击。

预处理语句（Parameterized Query）的本质是参数化查询。它把SQL逻辑和数据分离，数据库只执行结构，参数只负责传值，从根本上阻断了恶意代码的注入。

二、 C# 操作 MySQL 的底层拆解

很多小伙伴不理解预处理语句为什么快且安全，其实底层逻辑很简单：

解析阶段：客户端先发送SQL模板（如 `SELECT * FROM table WHERE name=?`）和参数（如 'admin'）给服务器。
预编译阶段：服务器解析SQL结构，生成执行计划，但不立即执行。
执行阶段：每次执行时，服务器直接把参数填入预编译好的模板中，再次执行。

三、实战源码：如何用预处理语句避免注入

下面我在零点博客放一段C#连接MySQL的实战代码，使用了 MySqlConnection 和 MySqlCommand。

1. 普通查询（不推荐，有风险）

string sql = "SELECT * FROM users WHERE name = '" + inputName + "'";

（此处如果 inputName 是 "admin'--"，SQL就会失效）

2. 预处理语句（推荐）

public User GetUserSafe(string userName)
{
    string connStr = "Server=localhost;Database=mydb;Uid=root;Pwd=password;";
    string sql = "SELECT * FROM users WHERE username = @p_name";

    using (MySqlConnection conn = new MySqlConnection(connStr))
    {
        conn.Open();
        // 1. 创建命令，并指定SQL
        using (MySqlCommand cmd = new MySqlCommand(sql, conn))
        {
            // 2. 添加参数，防止注入
            cmd.Parameters.AddWithValue("@p_name", userName);

            using (MySqlDataReader reader = cmd.ExecuteReader())
            {
                while (reader.Read())
                {
                    return new User { Name = reader["username"].ToString() };
                }
            }
        }
    }
    return null;
}

四、避坑指南与 EMLOG 插件开发建议

虽然预处理语句很安全，但在实际开发中，尤其是结合前端 HTML/CSS/JS 和接口开发时，还是要注意以下几点：

参数化万岁：凡是涉及用户输入的地方，不管是 SQL 还是 XML 解析，尽量不要用字符串拼接。
类型转换：在使用 Parameters.AddWithValue 时，尽量明确参数类型，避免数据库做隐式转换导致性能下降。
连接池管理：C# 的 MySqlConnection 内部自带连接池，记得使用 using 语句块自动释放资源，防止连接泄漏。
接口安全：在做 HTTP 接口开发时，除了 SQL 注入，还要注意接口鉴权，防止接口被恶意爬虫调用。

好了，关于 MySQL 预处理语句的实战就分享到这里。如果你在开发中遇到其他 C# 数据库问题，欢迎在评论区留言讨论！这里是零点博客，我们下期见。