实战复盘：基于C#的EMLOG评论安全过滤与SQL防护工具（含完整代码案例）

大家好，我是零点博客的博主。最近在用 C# 改造 EMLOG 项目的评论系统时，发现很多开发者习惯直接拼接 SQL 字符串，这在生产环境中是大忌。今天我不打算讲大道理，直接通过我项目中的实际应用，分享一套防注入+正则过滤的完整**代码案例**，希望能帮大家避坑。

一、为什么选择 C# 结合 EMLOG？

其实 EMLOG 是个轻量级的 PHP 博客系统，但为了对接更复杂的第三方爬虫接口和本地化数据处理，我用 C# 写了一个后端服务，通过 HTTP 接口与 EMLOG 前端通信。在开发“在线敏感词过滤工具”的过程中，核心难点在于如何保证**SQL注入防护**的绝对安全。

二、后端核心：SQL 预处理语句实战

很多人问怎么写预处理？看下面这段 C# 代码案例。绝对禁止使用字符串拼接（如 "+userId+"），而是使用参数化查询。这样即使用户在输入框里提交 `1 OR 1=1`，也不会被执行。

// 连接 MySQL 数据库
string connString = "Server=localhost;Database=emlog_db;Uid=root;Pwd=xxx;";

using (MySqlConnection conn = new MySqlConnection(connString))
{
    conn.Open();

    // 使用预处理语句防注入
    string sql = "INSERT INTO emlog_comment (content, ip) VALUES (@content, @ip)";
    using (MySqlCommand cmd = new MySqlCommand(sql, conn))
    {
        // 添加参数，杜绝 SQL 注入风险
        cmd.Parameters.AddWithValue("@content", "这里是评论内容，已经过前端过滤");
        cmd.Parameters.AddWithValue("@ip", "127.0.0.1");

        int rows = cmd.ExecuteNonQuery();
        Console.WriteLine($"插入成功 {rows} 条");
    }
}

这就是我在零点博客博客项目中多次复用的后端逻辑，简单但高效。

三、前端交互：JSON 数据解析与正则过滤

数据存入数据库后，我们还需要在前端展示，并利用正则表达式清理脏数据。下面是一个简单的 JS **代码案例**，用于过滤 HTML 标签并返回 JSON 格式数据：

function sanitizeInput(input) {
    // 移除所有 HTML 标签，只保留文本
    return input.replace(/<[^>]*>/g, "").replace(/ /g, " ");
}

// 模拟获取数据并转换为 JSON
const rawData = { "user": "黑客", "msg": "<script>alert(1)</script>链接测试" };
const cleanData = {
    ...rawData,
    msg: sanitizeInput(rawData.msg)
};
console.log(JSON.stringify(cleanData));

四、部署与避坑指南

在开发在线工具时，我遇到过几个坑：

字符编码问题： 在处理 MySQL 和 C# 交互时，一定要统一使用 UTF-8，否则中文会乱码。
接口超时： 如果爬虫开发涉及到大量数据请求，建议在 HTTP 请求头里加上超时设置，或者使用异步编程。
正则性能： 复杂的正则表达式可能会卡死前端，最好把耗时操作扔给后端 C# 处理。

这套逻辑不仅适用于 EMLOG，对于任何需要**后端开发**支持的项目都是通用的。如果你也想提升博客的安全性，不妨把这个**代码案例**拿去测试一下。

五、总结

从 HTML/CSS 布局，到 C# 后端的 SQL 操作，再到 JS 的数据清洗，一个安全的评论系统就是这样搭建起来的。我是零点博客的博主，欢迎大家在评论区交流更多关于爬虫开发或代码优化的想法。