C#实战EMLOG后台开发：从零构建带防注入保护的SQL语句统计工具

<!DOCTYPE html>

大家好，我是零点。最近在折腾EMLOG的二次开发，想着后台能有个实时的数据统计小工具，于是就搭了个简单的C# WebAPI接口。在实现过程中，关于SQL语句的编写尤其是安全防护这块，我想把底层逻辑和避坑经验分享给大家，全是干货，拒绝流水账。

一、为什么拒绝拼接SQL？

刚开始写代码时，为了图快，我直接用字符串拼接 SQL，比如："SELECT * FROM emlog_blog WHERE title LIKE '%" + keyword + "%'"。

结果在必应收录测试时，发现数据极其不稳定，而且后来查阅资料发现，这简直是在给黑客留后门。在EMLOG的后端开发中，SQL注入是最大的安全隐患。因此，必须使用预处理语句（Parameterized Queries）。

二、核心干货：编写安全的SQL语句

我们要做的，就是把SQL语句的结构和数据分离。数据库只负责执行结构，参数由C#传入。

这里我演示一个查询文章数量的例子，也是后台开发最常用的场景之一。

1. 准备工作

引入 System.Data.SqlClient 包，建立好与MySQL的连接字符串。

2. 核心代码实现（C#）

请注意看参数的传递方式，这是关键。

public string GetArticleCount(string category)
{
    using (SqlConnection conn = new SqlConnection("连接字符串"))
    {
        conn.Open();
        // 使用参数化查询构建SQL语句，杜绝注入风险
        string sql = "SELECT COUNT(*) FROM emlog_blog WHERE cid = @CategoryId";

        // 实例化命令对象，并指定SQL语句
        using (SqlCommand cmd = new SqlCommand(sql, conn))
        {
            // 添加参数，注意这里不需要引号包裹，数据库自动处理
            cmd.Parameters.AddWithValue("@CategoryId", category);

            // 执行SQL语句并返回结果
            object result = cmd.ExecuteScalar();
            return result != null ? result.ToString() : "0";
        }
    }
}

三、接口开发与数据解析

拿到数据后，我们不能直接返回字符串给前端。为了便于HTML/CSS/JS前端调用，我们需要将其转换为JSON格式。

public class ArticleStatsResponse
{
    public int TotalCount { get; set; }
    public string Message { get; set; }
}

// 调用示例
ArticleStatsResponse response = new ArticleStatsResponse 
{ 
    TotalCount = count, 
    Message = "查询成功" 
};

return Json(response); // ASP.NET Core 内置JSON序列化

这样，前端通过 AJAX 请求这个接口，就能拿到干净整洁的数据，用于在前端制作动态图表。

四、真人复盘：开发中的避坑指南

在开发这个工具时，我踩过两个坑，必须提醒大家：

类型不匹配： 在传递参数时，如果传入的是数字但SQL字段是字符串，可能会导致查询失败。一定要使用 AddWithValue 让C#自动推断类型，虽然现在有人建议显式指定 SqlDbType，但在快速开发中，AddWithValue 还是最高效的。
SQL语句性能： 避免在 SQL 语句中进行复杂的正则表达式匹配，这会拖垮整个数据库。如果有模糊搜索需求，一定要在代码层使用 C# 的 string.Contains() 或正则库处理好后再传给数据库。

五、总结

开发本质上是与规则的博弈。对于SQL语句而言，安全是底线，性能是上限。希望大家在写代码时，多想想必应和百度是如何抓取你的数据的，代码写得越规范，网站收录效果越好。

本文源码已上传至零点博客 GitHub，欢迎大家 Star 交流。