C#编程实战：从零开始对接EMLOG后台，如何用预处理语句杜绝SQL注入？

大家好，我是零点博客的博主。最近在搞一个通用的在线EMLOG数据管理工具，涉及到前后端交互和大量数据库操作。很多人在开发C#程序时，往往忽略了一个大坑：SQL注入。今天不讲虚的，直接拿我们常对接的EMLOG数据库作为案例，聊聊如何用C#编程配合预处理语句，让你的系统固若金汤。

一、为什么直接拼接字符串是“作死”？

在还没引入参数化之前，我最早写的一个查询接口是这样的（代码供反面教材参考）：

string sql = "SELECT * FROM emlog_user WHERE username = '" + inputUser + "'";

看起来没问题？错！一旦用户在输入框里输入 admin' OR '1'='1，数据库逻辑就崩了。为了大家的安全，我们今天必须改用参数化查询。

二、 C#编程核心：使用SqlCommand与Parameters

在C#中，对接MySQL或SQL Server，最稳妥的方式就是使用参数。这里我们以.NET Core环境为例，具体代码如下：

using (MySqlConnection conn = new MySqlConnection("Server=...;Database=emlog;..."))
{
    string sql = "SELECT uid, username, role FROM emlog_user WHERE username = @Username";

    using (MySqlCommand cmd = new MySqlCommand(sql, conn))
    {
        // 关键点：使用参数，而不是直接把变量塞进SQL里
        cmd.Parameters.AddWithValue("@Username", inputUser);

        conn.Open();
        using (MySqlDataReader reader = cmd.ExecuteReader())
        {
            while (reader.Read())
            {
                // 读取数据逻辑
                string userId = reader["uid"].ToString();
                // ...处理业务逻辑
            }
        }
    }
}

大家看，@Username 被当作了单纯的字符处理，哪怕你输什么特殊字符，数据库都把它当成普通文本，无法闭合引号，注入自然就失效了。

三、接口开发与JSON解析实战

除了查库，我们还需要从EMLOG的后台接口获取配置数据或文章列表。很多朋友在解析返回的JSON时容易报错。这里分享一个JSON解析的小技巧：

// 使用Newtonsoft.Json库解析
var jsonResult = client.GetStringData("/api/article/list");
var resultObj = JsonConvert.DeserializeObject<ApiResponse<ArticleList>>(jsonResult);

if (resultObj.code == 0)
{
    // 遍历文章列表，这里用正则表达式做简单的HTML过滤
    foreach (var item in resultObj.data)
    {
        string cleanContent = Regex.Replace(item.content, @"<[^>]+>", string.Empty);
        Console.WriteLine($"标题：{item.title}, 内容：{cleanContent}");
    }
}

这段代码展示了如何结合正则表达式清理前端传来的HTML标签，避免存储进数据库。

四、避坑指南与总结

开发过程中，我还踩过不少坑，总结几点给大家：

类型转换： MySQL中CHAR和VARCHAR虽然存文本，但在代码里处理时要区分，否则可能报错。
连接池： 开发在线工具时，不要频繁开启关闭连接，用连接池能提升10倍性能。
字符集： EMLOG通常用的是utf8mb4，确保C#代码文件也是UTF-8编码，否则中文乱码很搞心态。

总之，在这个行业混，安全永远是第一位的。熟练掌握C#编程中的预处理语句，不仅能提升代码质量，更能让你在面对复杂的SQL注入攻击时游刃有余。如果你觉得这篇干货对你有帮助，欢迎关注零点博客，后续我会分享更多关于爬虫开发和复杂接口对接的实战案例。