引言：开发爬虫工具时，我是如何踩坑的

最近在零点博客折腾一个新的 C# 爬虫开发 教程，目标是抓取目标站点的 JSON 数据，然后解析并存入本地的 EMLOG 数据库。坦白说，刚开始写的时候，为了图快，我习惯性地用字符串拼接 SQL语句，结果开发测了一半才惊觉这简直是埋了个“定时炸弹”。今天就把这段真实的开发复盘拿出来分享，聊聊到底怎么写 SQL语句 才安全、才高效。

1. 死磕“拼接”：一种危险且易错的习惯

很多初学者（包括刚入门的我）都会犯这个错误。比如我们在前端接收一个用户输入的 ID，然后直接拼接到 SQL 里：

// 危险做法！绝对不要在生产环境使用
string id = "1 OR 1=1"; 
string sql = $"SELECT * FROM emlog_article WHERE cid = {id}";
// 执行后直接全表曝光！

这就是典型的 SQL注入 攻击。当时我为了省事，直接把前端传来的 JSON 字段拼进去了，好几次测试都差点搞崩本地数据库。这让我意识到，SQL语句 的构建必须严谨。

2. 核心干货：预处理语句与参数化查询

为了解决这个问题，我们必须使用 预处理语句。这不仅是在写代码，更是在写逻辑。

这里有一个 C# 操作 MySQL 的经典案例：

using (MySqlConnection conn = new MySqlConnection(connStr))
{
    conn.Open();
    // 1. 先定义 SQL语句 模板，问号占位符
    string sql = "INSERT INTO tools_run_log (title, create_time) VALUES (@Title, @Time)";

    using (MySqlCommand cmd = new MySqlCommand(sql, conn))
    {
        // 2. 参数化赋值，彻底隔离代码与数据
        cmd.Parameters.AddWithValue("@Title", "零点博客工具测试");
        cmd.Parameters.AddWithValue("@Time", DateTime.Now);

        cmd.ExecuteNonQuery();
    }
}

看，这样写出来的 SQL语句，数据库引擎会把占位符当作纯文本处理，无论用户输入什么（哪怕是恶意的代码），都不会被执行为指令。

3. JSON 与 SQL 的互相转换：爬虫开发的痛点

在爬虫开发中，我们经常遇到 JSON 字段。有时候为了灵活性，我宁愿手写 SQL，也不愿直接用 ORM。比如前端传过来一个复杂的 JSON 数组：

[{"id":1,"name":"测试A"},{"id":2,"name":"测试B"}]

在 C# 后端，我们可以使用 Newtonsoft.Json 解析这个数组，然后动态构建 SQL语句 批量插入。这里有个技巧：使用 string.Join 拼接 VALUES 子句，效率很高。

4. 底层拆解与避坑指南

结合 EMLOG 和 C# 开发，我总结了几个容易被忽视的 SQL语句 优化点：

• 事务处理： 如果是转账或批量写入，一定要用 BeginTransaction 包裹，保证数据一致性。
• 分页查询： EMLOG 的翻页通常是 WHERE lid > lastId LIMIT 10，这种写法比 LIMIT 100,10 效率高得多，尤其是在数据量大的时候。
• 正则清洗： 在拼 SQL语句 前用正则表达式清洗一下用户输入，是最后的一道防线。

写代码不是为了炫技，而是为了安全与稳定。希望这些来自零点博客实战的干货，能帮你在 C# 和 MySQL 的开发路上少走弯路。

互动交流

你在开发中遇到过 SQL语句 的问题吗？欢迎在评论区留言，我们一起交流。