告别SQL注入！C#开发EMLOG接口时，一条标准SQL语句的写法与JSON数据交互实战

前言：为什么我选择用C#去查EMLOG的数据？

大家好，我是零点博客的主理人。最近在重构博客移动端接口时，发现很多CMS（如EMLOG）默认的PHP接口有时候不够灵活，所以我决定用C#写一套轻量级的接口服务，直接对接EMLOG的MySQL数据库。

一开始我觉得写SQL很简单嘛，直接拼接不就行了吗？直到我在本地环境搞出两次误删数据的“惨剧”，才深刻意识到SQL语句的安全规范和数据交互格式的重要性。今天这篇复盘，就把这次开发中关于SQL语句的标准写法和JSON数据处理的底层逻辑分享出来。

场景设定：我们需要获取哪些数据？

为了模拟真实场景，我们假设需要从EMLOG数据库中获取“置顶文章”和“最新评论”。这需要涉及多表查询（如果评论表存在的话）以及条件判断。

1. 拼接SQL语句的误区

很多新手在写SQL语句时，习惯像拼字符串一样拼接变量，比如：

string sql = "SELECT title, content FROM emlog_article WHERE logid = " + articleId;

这种写法在开发初期没问题，但一旦用户在文章ID里输入 1 OR 1=1，数据库就直接把所有数据吐给你了。这就是经典的SQL注入攻击。在我的开发经验里，这种坑至少让团队返工过两次。

2. 真正的“零点博客”标准写法：预处理语句

为了安全，我全程强制使用预处理语句（Prepared Statements）。在C#中操作MySQL，推荐使用MySql.Data类库。下面是一段完整的核心代码示例：

using (MySqlConnection conn = new MySqlConnection(connString))
{
    conn.Open();
    
    // 核心SQL：这里使用参数化查询，?是占位符
    string sql = "SELECT title, lid, date FROM emlog_article WHERE lid = ?logId ORDER BY date DESC LIMIT 10";
    
    // 创建命令对象，并绑定SQL
    using (MySqlCommand cmd = new MySqlCommand(sql, conn))
    {
        // 关键步骤：添加参数，自动转义特殊字符
        cmd.Parameters.AddWithValue("?logId", 123);
        
        // 执行查询
        using (MySqlDataReader reader = cmd.ExecuteReader())
        {
            var articleList = new List<Article>();
            
            // 读取数据并填充实体类
            while (reader.Read())
            {
                articleList.Add(new Article
                {
                    Title = reader.GetString("title"),
                    Id = reader.GetInt32("lid"),
                    Date = reader.GetDateTime("date").ToString("yyyy-MM-dd")
                });
            }
            
            // 下面的操作涉及JSON解析，但重点在SQL本身
            return JsonConvert.SerializeObject(articleList);
        }
    }
}

底层拆解：为什么预处理能防注入？

大家可能好奇，到底发生了什么？其实原理很简单：

预编译阶段： 数据库引擎先编译SQL的骨架（如 SELECT * FROM ... WHERE id = ?），这时候它并不理解问号是什么，也不理解传入的变量值。
参数绑定阶段： 我们传入的参数（比如 1 OR 1=1）并不是作为SQL代码的一部分，而是作为数据包被发送给数据库。
执行阶段： 数据库直接把数据包塞进了编译好的骨架里，把它当成普通字符串处理，而不是代码命令。

这就是SQL注入防护的核心原理。在你的零点博客实战项目中，这一点绝对不能省。

前端交互：JSON数据的解析与返回

后端查询完数据库后，通常需要返回JSON格式给前端JS调用。上面的代码最后使用了Newtonsoft.Json库将C#对象列表转成了JSON字符串。前端JS接收后，利用正则表达式或者DOM操作解析出文章标题和内容，这样无需刷新页面就能实现动态加载。

复盘总结

这次开发让我明白，一个健壮的接口开发流程应该是：

1. 规范SQL语句结构： 清晰的表名、字段名，避免冗余查询。

2. 坚决使用预处理： 把安全刻在脑子里，永远不要手动拼接字符串执行SQL。

3. 统一数据格式： 前后端约定好JSON的数据结构，避免解析时出现null值。

希望这篇结合C#、MySQL和EMLOG的实战笔记，能帮到正在学习后端开发的小伙伴！如果在实操中遇到问题，欢迎在零点博客留言讨论。