零点博客实战：C# XML解析全流程，从接口文档读取到MySQL预处理入库避坑指南

大家好，我是零点。在前几天的EMLOG二次开发中，我们需要对接一个旧版接口，对方给出的数据格式全是XML。很多新手朋友在处理这种数据时，要么是直接字符串截取，导致页面乱码；要么是拿到数据后直接拼接SQL语句，导致数据库裸奔。

今天不整虚的，直接复盘一下我在后端开发中，如何使用C#规范地XML解析数据，并结合MySQL预处理语句做好SQL注入防护的实战经验。

一、为什么不用字符串截取？

面对一段类似HTML的XML代码，新手最爱用的就是Substring。但大家要注意，XML的标签名是动态的，今天可能是``，明天就是``。用截取法一旦标签稍微错一位，整个程序就崩了。

我们在做爬虫开发或者对接API时，标准的做法是使用C#自带的System.Xml命名空间，利用XPath精准定位节点。

二、实战：模拟XML数据流与解析

假设我们接收到一段数据包，我们首先需要将其加载到内存中：

// 1. 构造模拟的XML字符串
string xmlString = @"<Response>
  <Status>200</Status>
  <Data>
    <Item>
      <Title>零点博客</Title>
      <Url>https://www.lddblog.com</Url>
      <CreateTime>2023-10-01</CreateTime>
    </Item>
  </Data>
</Response>";

// 2. 创建 XmlDocument 对象
System.Xml.XmlDocument doc = new System.Xml.XmlDocument();
try
{
    doc.LoadXml(xmlString);
}
catch (Exception ex)
{
    // 这里要记录日志，防止XML格式非法导致服务崩溃
    return;
}

// 3. 使用 XPath 定位节点
XmlNode root = doc.SelectSingleNode("//Data/Item");
XmlNode titleNode = root.SelectSingleNode("Title");

string title = titleNode.InnerText;
Console.WriteLine($"解析结果：{title}");

看，通过XML解析，我们轻松拿到了Title节点的内容，无论XML结构多复杂，我们都能拿捏。

三、底层避坑：SQL注入防护与正则清洗

拿到数据只是第一步。从后端开发的角度看，最致命的风险在于数据传输。如果我们直接把上面的`Title`拼接到SQL语句里，比如：

// ❌ 绝对禁止的写法（直接拼接）
string sql = "INSERT INTO posts (title) VALUES ('" + title + "')";

如果有人恶意在Title里输入`' OR '1'='1`，你的数据库就被黑了。这就是著名的SQL注入。

正确的做法是使用预处理语句，并配合正则表达式清洗非法字符。

首先，我们需要用正则去掉可能破坏SQL的字符（注意：这里只是示例，真实场景建议全权依赖预处理）：

// 简单的清洗：防止引号破坏SQL结构
System.Text.RegularExpressions.Regex rgx = new System.Text.RegularExpressions.Regex(@"['""] +");
string safeTitle = rgx.Replace(title, string.Empty);

然后，安全地存入数据库：

// ✅ 推荐做法：预处理
string sql = "INSERT INTO posts (title, created_at) VALUES (@p1, @p2)";

using (SqlConnection conn = new SqlConnection(connString))
using (SqlCommand cmd = new SqlCommand(sql, conn))
{
    // 绑定参数，数据库会自动处理转义
    cmd.Parameters.AddWithValue("@p1", safeTitle);
    cmd.Parameters.AddWithValue("@p2", DateTime.Now);

    conn.Open();
    cmd.ExecuteNonQuery();
}

四、总结与零点经验

这次复盘让我再次意识到，前端开发看的是页面的美观，而后端开发看的是数据的稳健。XML解析不仅在于怎么读，更在于读完后怎么安全地写入数据库。

优先使用XPath而非字符串截取。
永远不要信任前端传来的数据。
写入数据库必须使用预处理语句，这是SQL注入防护的核心。

以上是零点博客今天的实操分享，希望能帮到正在做在线工具开发或爬虫的朋友。如果觉得有用，欢迎转发支持！