零点博客技术复盘：用 C# 对接 EMLOG 数据库，详解 MySQL 预处理语句防注入实战

最近在零点博客折腾 C# 后端开发，打算做一个基于 EMLOG 的轻量级数据读取接口。过程中踩了不少坑，尤其是涉及到MySQL数据库操作时，安全总是悬在头顶的一把剑。今天就把这次实战中关于 SQL 注入防护和参数化查询的复盘整理出来，希望能帮到同样在做 Web 开发、爬虫或工具集开发的朋友。

一、为什么选择 C# + EMLOG？

EMLOG 虽然轻量，但它本质上是 PHP 写的，很多数据结构我也不是很熟悉。为了快速开发在线工具，我决定用 C# 后端去模拟 PHP 的行为，直接对接 EMLOG 的 MySQL 数据库。这就涉及到了核心的接口开发和数据交互。

二、直面痛点：SQL 注入防御

很多初学者（包括以前的我）写 SQL 语句时非常随意，喜欢字符串拼接。比如直接把用户输入拼接到查询里。在MySQL数据库中，这无异于开门揖盗。

❌ 错误示范（绝对禁止）：

string sql = "SELECT * FROM emlog_article WHERE title LIKE '%" + userKeyword + "%'";
MySqlCommand cmd = new MySqlCommand(sql, conn);

一旦用户输入了类似 `' OR '1'='1` 这样的恶意代码，你的数据就全泄露了。

✅ 正确姿势：预处理语句（Parameterized Queries）

在 C# 中操作MySQL数据库，最稳妥的方法就是使用 MySqlCommand 配合 Parameters.AddWithValue。这样做的好处是，数据库引擎会把参数当作“数据”处理，而不是当作“代码”执行。

string sql = "SELECT * FROM emlog_article WHERE title LIKE @keyword";
MySqlCommand cmd = new MySqlCommand(sql, conn);

// 这里的 @keyword 是参数占位符，不是字符串拼接！
cmd.Parameters.AddWithValue("@keyword", "%" + userKeyword + "%");

// 执行查询并处理结果集，随后转为 JSON 格式返回给前端

三、底层拆解：从表单到 JSON 的流转

除了防注入，我们还得考虑数据格式。在实际开发中，前后端分离是趋势，所以 JSON 解析必不可少。下面是一个简单的请求处理流程：

接收请求： C# 接收前端发来的 JSON 数据。
正则验证： 在执行 SQL 之前，先用正则表达式对用户输入进行清洗。比如确保手机号格式正确，或者过滤掉特殊符号。
数据库操作： 调用封装好的 DB Helper 执行带参数的 SQL。
序列化输出： 将查询到的 DataTable 转换为 JSON 字符串。

实操代码片段：

using System.Text.RegularExpressions;
using System.Data;

// 1. 简单的正则清洗
if (!Regex.IsMatch(keyword, @"^[a-zA-Z0-9一-龥]+$"))
{
    return Json(new { status = "error", msg = "包含非法字符" });
}

// 2. 执行安全的 SQL 查询
// ... (省略连接字符串配置和 cmd 执行代码)
// ...

// 3. 将结果转为 JSON 返回给前端
string jsonData = new JavaScriptSerializer().Serialize(dt.Rows);

四、避坑指南与常见错误

连接池泄漏： 在做爬虫开发或高频接口调用时，不要在循环里创建和销毁连接，务必使用 using 语句块，或者复用连接对象。
字符编码： MySQL数据库表字段和 C# 代码都要设置为 UTF-8，否则查询中文时会乱码。
NULL 处理： 在 SQL 查询中处理 NULL 值要小心，在拼接 JSON 时最好做个空值判断，避免前端报错。

五、结语

开发没有捷径，安全更是如此。通过这次在零点博客的实战，我深刻体会到掌握预处理语句是每个后端开发者必须跨越的门槛。无论是写 C# 还是 PHP，只要涉及到数据库操作，安全永远是第一位的。如果你在做在线工具开发，这些细节处理好，用户体验才会真正落地。

希望这篇结合了源码案例的干货能帮到你，关注零点博客，后续我会分享更多关于爬虫反爬策略和高效算法的内容。