零点博客：C# MySQL预处理语句防注入，EMLOG接口安全开发实战

大家好，我是零点博客的技术主理人。今天不聊花哨的前端特效，咱们来聊聊后端最敏感的命门——SQL注入。很多小伙伴在开发EMLOG插件或者用C#做Web接口时，常犯一个致命错误：直接拼接SQL字符串，这在安全面前简直是在裸奔。

一、 为什么传统拼接会导致“炸库”？

我看过不少爬虫开发者的代码，直接把用户输入拼进SQL里，比如：

string sql = "SELECT * FROM users WHERE username = '" + userInput + "'";

如果用户输入的是 ' OR '1'='1，数据库立马就“叛变”了。对于想搞你博客的爬虫或黑客，这太容易了。

二、 底层拆解：预处理语句是如何“封印”恶意的？

核心原理很简单：把代码和数据进行分离。

  1. 编译阶段：数据库先解析SQL的结构（表名、字段名），这时候用户输入只是被当成普通的“问号”或“占位符”存起来。
  2. 执行阶段：C# 后端再把清洗好的数据填进去。这时候，数据库把这段数据只当做字符串，不执行任何逻辑。

三、 C# 实战：在EMLOG或C#接口中使用预处理语句

下面是我在零点博客开发后台接口时的真实代码片段，直接拿来用没问题。

using System.Data.SqlClient;

// 1. 定义连接字符串，这里以MySQL为例（C#通常用MySql.Data包，原理通用）
string connStr = "Server=localhost;Database=emlog;User=root;Password=***;";

using (SqlConnection conn = new SqlConnection(connStr))
{
    conn.Open();
    // 2. 查询语句中使用参数占位符 (@id 或 ?)
    string sql = "SELECT * FROM emlog_article WHERE cid = @cid";

    // 3. 实例化Command，注意这里只传SQL，不传用户输入的变量
    using (SqlCommand cmd = new SqlCommand(sql, conn))
    {
        // 4. 添加参数，这才是防注入的关键！
        cmd.Parameters.AddWithValue("@cid", inputId);

        // 5. 执行查询
        using (SqlDataReader reader = cmd.ExecuteReader())
        {
            while (reader.Read())
            {
                // 处理 JSON 数据返回给前端
                Console.WriteLine(reader["title"].ToString());
            }
        }
    }
}

四、 前后端联动与JSON安全解析

后端安全了还不够，前端传参也得注意。我们在HTML/JS层面可以用正则表达式对输入进行初步清洗，然后再传给C#接口。

function sanitizeInput(input) {
    // 移除除了数字、字母、下划线以外的字符，防止特殊符号干扰后端SQL
    return input.replace(/[^a-zA-Z0-9_]/g, '');
}

// 假设这是前端 AJAX 请求
var cleanData = sanitizeInput(document.getElementById('input').value);

C#后端接收到JSON数据后，务必再次校验数据类型（比如ID必须是数字），然后才能扔进预处理语句。

五、 总结与避坑指南

今天在零点博客的复盘就到这里。记住两点：

  1. 永远不要相信前端传来的数据，哪怕有正则校验也不行。
  2. 必须使用预处理语句（Parameterized Query），无论是PHP的PDO、mysqli，还是C#的SqlCommand，这是开发爬虫或接口的底线。

如果你在开发EMLOG主题或爬虫工具时遇到数据入库报错，多半是因为SQL语句写法不对，排查一下是否少加了参数绑定即可。