拒绝盲目写码！从底层逻辑拆解 C# 构建 EMLOG 接口与 SQL 防注入实战

写在前面：为什么说“底层逻辑”才是硬通货？

在零点博客日常折腾 EMLOG 这套 PHP 架构时，很多小伙伴喜欢直接拼接 SQL 字符串来获取数据。说实话，以前我也这么干过，直到有一次因为漏了一个引号导致整个数据库被拖库。今天这篇复盘，不讲虚的，我们直接上干货，从底层逻辑拆解的角度，用 C# 稳稳地对接 EMLOG 接口，并聊聊如何通过预处理语句彻底杜绝 SQL 注入。

一、场景还原：我们要造什么“轮子”？

我们要做一个在线工具，能够读取零点博客的 EMLOG 文章数据，展示在网页前端。这里涉及几个关键点：后端用 C# 写，数据库是 MySQL（EMLOG 默认用的），前端通过 JSON 数据渲染。核心难点在于安全，EMLOG 作为一个老牌 CMS，接口安全性参差不齐，我们必须建立自己的防线。

二、核心代码实现：拒绝字符串拼接

很多初学者喜欢这样写：

string sql = "SELECT * FROM emlog_article WHERE title LIKE '%" + keyword + "%'";

各位老板，千万别这么写！这是在给黑客递刀子。正确的做法是预处理语句。

下面是一段基于 C# + MySql.Data.MySqlClient 的实战代码：

// 1. 引用命名空间
using System;
using MySql.Data.MySqlClient;

public class EmlogService
{
    private string connStr = "Server=localhost;Database=emlog_db;Uid=root;Pwd=your_password;";

    /// <summary>
    /// 查询文章列表（带分页）
    /// </summary>
    public string GetArticleList(string keyword, int page)
    {
        // 2. 使用 using 语句自动释放资源，这是好习惯！
        using (MySqlConnection conn = new MySqlConnection(connStr))
        {
            conn.Open();

            // 3. 关键：底层逻辑拆解：参数化查询
            // 数据库会先将 SQL 模板编译好，然后把参数填进去，这样黑客注入的脚本代码只会被当作普通字符串
            string sql = "SELECT gid, title, date, hits FROM emlog_article WHERE title LIKE @keyword ORDER BY date DESC LIMIT @offset, @pageSize";

            using (MySqlCommand cmd = new MySqlCommand(sql, conn))
            {
                // 4. 绑定参数
                // 加上 @ 前缀，避免变量名冲突，也是规范
                cmd.Parameters.AddWithValue("@keyword", "%" + keyword + "%");
                cmd.Parameters.AddWithValue("@offset", (page - 1) * 10);
                cmd.Parameters.AddWithValue("@pageSize", 10);

                using (MySqlDataReader reader = cmd.ExecuteReader())
                {
                    // 5. 构建返回的 JSON 数据
                    // 这里省略具体的 JSON 序列化逻辑，实际项目中推荐 Newtonsoft.Json
                    // 简单起见，我们手动拼接 HTML 格式返回给前端
                    string html = "";
                    while (reader.Read())
                    {
                        string gid = reader["gid"].ToString();
                        string title = reader["title"].ToString();
                        html += $"文章ID: {gid} - {title}";
                    }
                    html += "";
                    return html;
                }
            }
        }
    }
}

三、底层原理：为什么预处理语句能防注入？

这里就是我们要重点拆解的底层逻辑。

如果你的 SQL 是拼接的，黑客只要在输入框里输入 `' OR '1'='1`，数据库就会把它当成代码执行，直接查出所有数据。

但当我们使用 `Parameters.AddWithValue` 时，数据库引擎会做两件事：

预编译 SQL： 只解析 SQL 的语法结构，不解析变量值。
参数绑定： 将变量值作为一个纯粹的“数据块”插入到已经编译好的指令中。

所以，哪怕你传进来的是 ``，在数据库眼里，它就是个普通的字符串，无法执行恶意脚本。这不仅是防注入，也是为了提升查询性能（避免每次执行都重新解析 SQL）。

四、前端与爬虫开发中的避坑指南

在写完 C# 后端，前端对接 HTML/CSS/JS 进行展示时，还有一个坑要注意：字符编码。

如果你的 MySQL 连接字符串里没有加 `CharSet=utf8mb4`，或者前端 CSS 的 meta 标签没写对，中文往往会变成乱码。这是我在开发爬虫工具时经常遇到的问题，调试起来很浪费时间。

另外，如果是做爬虫开发，不仅要防自己的 SQL 注入，还要注意频率控制。EMLOG 接口如果被你的 C# 程序刷太快，很可能会被封 IP。建议在代码里加一个简单的 `Thread.Sleep(1000)` 或者使用队列机制。

五、总结与复盘

通过这次实战，我们用 C# 成功对接了 EMLOG 接口，并跑通了 JSON 数据的解析流程。关键在于：

永远不要相信用户输入的数据，全部使用预处理。
理解 SQL 语句的执行顺序和参数绑定的底层机制。
关注字符编码和资源释放，这是代码健壮性的体现。

零点博客的技术专栏就是希望能把这些零散的片段串联起来，让你少走弯路。下次遇到 EMLOG 数据库交互，记得用今天这套方案，稳！