零点博客实战：C#与EMLOG深度交互，拆解SQL注入与接口安全的底层逻辑

做技术这行，最怕的就是只知其然不知其所以然。最近在零点博客折腾 EMLOG 系统时，用 C# 做了个爬虫去拉取数据，顺便也复习了一下后端开发中的那些“老生常谈”。今天不整虚的，咱们直接从 C# 结合 EMLOG 接口开发 的视角，来一场 底层逻辑拆解，重点聊聊怎么通过预处理语句彻底杜绝 SQL 注入防护 的问题。

一、为什么 EMLOG 开发离不开 C#？

EMLOG 这款轻量级博客程序虽然常被 PHP 开发者玩得溜，但咱们用 C# 的话，优势很明显。无论是做 在线工具开发 还是写个 爬虫开发 去抓取全网数据，C# 强大的 System.Net 库和强大的字符串处理能力都能派上用场。我们在零点博客的代码里，经常会遇到需要解析 JSON 或 XML 数据流的情况，这时候正则表达式和反序列化就是必杀技了。

二、真正的干货：SQL注入防护的底层逻辑拆解

很多小伙伴在写接口开发时，喜欢直接把用户输入拼接到 SQL 语句里。比如查个 ID：

string sql = "SELECT * FROM emlog_user WHERE id = " + userId;

这在演示时看着没毛病，但一旦遇上别有用心的人传入 `1 OR 1=1`，数据库就炸锅了。咱们拆解一下底层逻辑：数据库执行 SQL 时，是将其视为一条完整的指令解析，而非参数。恶意字符一旦混入指令结构，就会改变原本的查询意图。

三、实操：如何用 C# 做好预处理防护？

来，看我怎么在 MySQL 中使用 预处理语句。这不仅仅是语法糖，而是逻辑上的隔离：

string connStr = "Server=localhost;Database=emlog;Uid=root;Pwd=xxx;";
using (MySqlConnection conn = new MySqlConnection(connStr))
{
    conn.Open();
    // 核心逻辑：使用占位符 ? 替代字符串拼接
    string sql = "SELECT * FROM emlog_article WHERE title LIKE @title";

    using (MySqlCommand cmd = new MySqlCommand(sql, conn))
    {
        // 参数化赋值，数据库会自动识别这是参数而非代码
        cmd.Parameters.AddWithValue("@title", "%" + userInput + "%");

        using (MySqlDataReader reader = cmd.ExecuteReader())
        {
            while (reader.Read())
            {
                // 读取 JSON 格式的扩展数据
                string jsonStr = reader["content"].ToString();
                // 解析 JSON...
            }
        }
    }
}

看明白了吗？只要用了预处理，恶意 SQL 就成了普通的文本参数，压根无法干扰查询逻辑。

四、爬虫开发中的 JSON 与 XML 处理技巧

当我们成功调用接口拿到数据后，往往得到的是一大坨 JSON。很多初学者喜欢写几行复杂的正则表达式去硬匹配，效率极低。其实，利用 C# 强大的序列化库，直接一步到位：

string response = client.DownloadString("http://你的EMLOG接口地址/api/get_post.php");
var postInfo = JsonConvert.DeserializeObject<PostResponse>(response);
// 后续处理直接通过 postInfo.Title 属性获取，无需正则

这种从源头解析数据的方式，比正则写法稳健得多，也更适合开发在线工具。

五、避坑指南与总结

防注入别偷懒：无论是 PHP 还是 C#，只要涉及到数据库交互，参数化是底线。
正则要有边界：处理字符串时，记得界定范围，不然容易吞掉不该吞的内容。
数据闭环：前端 HTML/CSS 只负责展示，数据处理、JSON 解析、SQL 查询，都要在安全的前提下进行。

从零点博客的这个小案例里，希望能让你看懂那些代码背后的 底层逻辑拆解。技术这东西，拆开了看，其实没那么玄乎。