C#与EMLOG避坑指南：杜绝SQL注入，C#预处理语句实战全复盘

大家好，我是零点博客的开发者。今天要跟大家聊一个老生常谈但又极其严肃的话题——在C#后端开发中，如何防住SQL注入。前几天在优化我们的在线工具系列时，涉及到对接EMLOG的接口，踩了一个坑，今天特地以避坑指南的形式复盘一下，希望能帮大家少走弯路。

场景回顾：为了高效，我们选择了字符串拼接？

在开发爬虫开发模块时，为了快速从第三方接口抓取数据并处理成JSON格式存入本地数据库，我最初图省事，直接用C#字符串拼接SQL语句。比如：

string sql = "SELECT * FROM emlog_article WHERE title LIKE '%" + keyword + "%'";

乍一看代码没问题，但如果用户输入的搜索词是 ' OR '1'='1，后果简直不可想象。这就引出了我们要讲的核心——SQL注入防护与预处理语句。

避坑第一步：拥抱C#预处理语句

为了安全，我们必须改用预处理语句（Parameterized Queries）。这不仅是为了防止注入，更能让数据库优化器更高效地执行查询。下面是我在零点博客实战中常用的代码片段：

using (SqlConnection conn = new SqlConnection(connectionString))
{
    string sql = "SELECT * FROM emlog_article WHERE uid = @UserId";
    using (SqlCommand cmd = new SqlCommand(sql, conn))
    {
        // 关键点：使用SqlParameter，绝不直接拼接变量
        cmd.Parameters.AddWithValue("@UserId", userId);

        conn.Open();
        using (SqlDataReader reader = cmd.ExecuteReader())
        {
            while (reader.Read())
            {
                // 读取并处理数据
                ProcessArticleData(reader);
            }
        }
    }
}

你会发现，SQL语句变成了以 @ 开头的占位符。无论用户输入什么脏数据，数据库都会把它当成纯粹的字符处理，从而彻底切断注入路径。

数据清洗：正则表达式与JSON解析

除了后端安全，前端和数据处理也是避坑重地。从接口获取的HTML或文本内容，往往充满乱码或非法标签。这时就需要用到正则表达式进行清洗。

例如，我写了一个简单的Helper类，专门用于从杂乱的HTML中提取纯文本：

string htmlContent = "...复杂的HTML内容...";
Regex htmlRegex = new Regex(@"<[^>]+>|&nbsp;");
string plainText = htmlRegex.Replace(htmlContent, string.Empty);

清洗完数据后，别忘了将其转换为JSON格式供前端调用。在C#中利用 Newtonsoft.Json 库序列化对象，是输出接口数据的标准姿势。

底层拆解：为什么字符串拼接是死穴？

很多初学者不理解原理。简单来说，当你直接拼接字符串时，数据库编译器会把用户的输入当作SQL指令的一部分去解析。如果输入了恶意代码，查询结构就会发生扭曲，导致数据泄露甚至被删除。

总结与建议

在零点博客的持续迭代中，我总结出了一条铁律：永远不要相信用户的输入，永远使用预处理语句。

今天的分享就到这里，从C#到PHP后端开发，从MySQL语句操作到前端HTML/CSS/JS的交互，每一个环节都藏着坑。希望大家在开发爬虫开发或在线工具时，都能关注安全细节。如果你有更好的防注入思路，欢迎在评论区与零点博客的读者们交流！