大家好，我是零点博客的主理人。昨天在接手一个 C# 后端对接 EMLOG 文章接口的项目时，遇到了一个很棘手的问题：高并发下数据库连接瞬间耗尽，导致服务直接崩了。排查了半天，发现是SQL 注入风险和连接池管理没做好。今天就来复盘一下，如何在实际开发中安全高效地操作MySQL数据库。

一、 为什么不能用字符串拼接 SQL？

很多初学者喜欢用 string.Format 拼接 SQL，比如 "SELECT * FROM emlog WHERE uid = " + userId。在爬虫开发或处理简单数据时没问题，但一旦用户输入里带了 1 OR 1=1，数据就全泄露了。在PHP后端开发中我们习惯用 PDO 预处理，其实在 C# 中，MySQL数据库的操作同样支持预处理参数。

二、 零点博客的实战代码：防止注入与提高性能

在 HTML/CSS/JS 前端展示数据没问题，关键在后端。我们直接看 C# 连接 MySQL 并使用预处理语句的代码：

using (MySqlConnection conn = new MySqlConnection("Server=localhost;Database=emlog;Uid=root;Pwd=123456;Pooling=true;Min Pool Size=5;Max Pool Size=100;"))
{
    conn.Open();
    // 关键点：使用参数化查询，@p1 代表参数占位符
    string sql = "SELECT * FROM emlog WHERE cid = @p1 AND status = 1";

    using (MySqlCommand cmd = new MySqlCommand(sql, conn))
    {
        // 绑定参数，自动转义特殊字符，杜绝 SQL 注入
        cmd.Parameters.AddWithValue("@p1", articleId);

        using (MySqlDataReader reader = cmd.ExecuteReader())
        {
            while (reader.Read())
            {
                // 将数据库查到的数据转换为 JSON 格式返回给前端
                // 前端 JS 再通过 fetch/jsonp 获取数据
                Console.WriteLine($"标题: {reader["title"]}");
            }
        }
    }
}

三、 深入连接池配置（解决连接被占用的神器）

刚才报错的原因是 `Pooling=true`（默认开启），但连接没有及时释放。在 JSON/XML数据解析 或批量处理时，如果没有规范关闭连接，连接池会认为连接还活着，但实际上已经断开。

我在连接字符串中加入了 Min Pool Size=5;Max Pool Size=100;。这确保了请求到来时，连接池里至少有 5 个备用的，减少握手开销。同时配合 `using` 语句块，保证数据库连接用完立马归还，而不是卡在内存里。

四、 进阶技巧：正则与数据清洗

在开发在线工具（比如 Markdown 转 HTML）时，从数据库读取的数据往往需要二次清洗。比如用户在评论里故意输入恶意脚本。

我们可以结合 C# 的 正则表达式 进行过滤：

string badCode = "";
string pattern = "<script.*?>.*?</script>";
Regex regex = new Regex(pattern, RegexOptions.IgnoreCase);
string cleanContent = regex.Replace(badCode, "");

这一步结合了 MySQL 的输入验证，构成了双重保险。记住，安全永远不是单一的，而是贯穿于接口开发的全流程。

五、 总结

从零点博客的维护到实际的项目落地，MySQL 的使用其实就那三板斧：连接要安全（预处理）、资源要回收（连接池）、数据要清洗（正则）。如果你正在做 C# 或 PHP 的后端开发，不妨检查一下你的代码是否规范？有没有正确的关闭数据库连接？希望这篇结合源码的实操指南能帮到你，我们下期见！