大家好，我是零点博客的博主。最近在整理旧项目时，复盘了一次早期的C#爬虫开发经历，发现当初对MySQL数据库的安全操作意识很薄弱，导致数据经常莫名丢失。今天我就把这次底层拆解和避坑指南分享给大家，重点讲讲如何在开发中正确处理MySQL数据库，以及如何高效解析JSON数据。

一、 为什么直接拼接SQL是“送命”行为？

在很多初学者（包括以前的我）开发接口开发时，习惯用字符串拼接：

string sql = "SELECT * FROM users WHERE id = " + userId;

一旦这个 userId 是别人精心构造的恶意脚本（比如 `1 OR 1=1`），数据库就会沦陷。在涉及SQL注入防护时，我们必须意识到，这是全栈开发的第一道防线。

二、 C#实战：使用预处理语句

在C#操作MySQL数据库时，预处理语句（Parameterized Queries）是标准答案。利用MySql.Data驱动，我们可以实现安全的交互：

using (MySqlConnection conn = new MySqlConnection(connString))
{
    conn.Open();
    string sql = "SELECT * FROM articles WHERE cat_id = @catid AND status = 1";
    using (MySqlCommand cmd = new MySqlCommand(sql, conn))
    {
        // 核心点：将参数绑定到命令对象
        cmd.Parameters.AddWithValue("@catid", categoryId);
        using (MySqlDataReader reader = cmd.ExecuteReader())
        {
            while (reader.Read())
            {
                // 获取数据逻辑
            }
        }
    }
}

这样无论传入什么参数，数据库都只会把它当作普通字符串处理，彻底杜绝了注入风险。

三、 爬虫开发中的数据清洗与JSON解析

在做爬虫开发时，目标网站返回的通常是JSON格式。在接收到流数据后，我们需要使用正则表达式或者专门的JSON解析库进行提取。

比如我们要抓取一个API接口的数据并存入我们的MySQL数据库：

var result = JsonConvert.DeserializeObject<RootObject>(jsonString);
foreach(var item in result.Data)
{
    string insertSql = "INSERT INTO crawl_data (title, url, create_time) VALUES (@t, @u, @c)";
    // 这里再次使用预处理语句，防止抓取时URL参数包含特殊字符
    using (var cmd = new MySqlCommand(insertSql, conn))
    {
        cmd.Parameters.AddWithValue("@t", item.Title);
        cmd.Parameters.AddWithValue("@u", item.Url);
        cmd.Parameters.AddWithValue("@c", DateTime.Now);
        cmd.ExecuteNonQuery();
    }
}

这个过程结合了HTML/CSS/JS前端的数据结构理解，以及后端的C# PHP逻辑处理，是全栈开发的核心技能。

四、 结语与资源

写这篇文章也是为了纪念那个差点出事故的晚上。希望这些源码案例和实操教程能帮到大家。如果你正在折腾EMLOG插件，或者想开发在线工具，不妨借鉴这种“先清洗、后入库”的思路。技术的提升往往就隐藏在这些细节的避坑里。零点博客持续更新技术干货，欢迎关注。