零点博客复盘：C# EMLOG后端开发中的SQL注入防护与预处理语句实战

在零点博客分享的一系列在线工具开发案例中，很多新手开发者往往只关注前端 HTML/CSS/JS 的交互体验，却忽略了后端 C# 与 MySQL 交互时的安全漏洞。最近在整理 C# 接口开发源码时，我发现很多初学者在拼接 SQL 字符串时极易引发 SQL注入 问题。今天，我就结合 EMLOG 核心代码风格，聊聊如何用预处理语句彻底防御这种攻击，顺便带大家避个坑。

一、为什么“拼接字符串”是隐患？

在传统的 C# 后端开发中，我们习惯使用字符串拼接 SQL：

string sql = "SELECT * FROM emlog_user WHERE username = '" + inputUser + "'";

虽然写起来简单，但如果前端传入的数据没有经过严格的 HTML/CSS/JS 转义处理，恶意攻击者可能在输入框中输入 ' OR '1'='1。此时 SQL 语句会变成：WHERE username = '' OR '1'='1'，这直接导致数据库全表遍历，后果不堪设想。

二、核心解法：预处理语句

要解决这个问题，必须依靠参数化查询（预处理语句）。在 C# 连接 MySQL 时，我们可以使用 MySqlParameter。这能让数据库引擎将 SQL 语句结构和数据内容分开处理。

string sql = "SELECT * FROM emlog_user WHERE username = @username";
using (MySqlConnection conn = new MySqlConnection(connectionString))
{
    conn.Open();
    using (MySqlCommand cmd = new MySqlCommand(sql, conn))
    {
        // 使用参数化，而非字符串拼接，防止 SQL注入
        cmd.Parameters.AddWithValue("@username", inputUser);
        using (MySqlDataReader reader = cmd.ExecuteReader())
        {
            while (reader.Read()) {
                // 处理 JSON 数据解析...
                Console.WriteLine(reader.GetString("nickname"));
            }
        }
    }
}

看，通过 @username 这种占位符方式，无论输入什么特殊字符，数据库都会将其视为普通文本，而不是可执行的 SQL 代码。

三、正则表达式的辅助作用

虽然预处理语句是防 SQL注入 的第一道防线，但在某些纯前端验证场景下，我们依然可以使用正则表达式。例如，限制用户只能输入字母和数字，这在一定程度上可以减少注入风险。

if (!Regex.IsMatch(inputUser, @"^[a-zA-Z0-9]+$"))
{
    return BadRequest("非法字符");
}

但切记，正则只是辅助，绝对不能替代后端的预处理语句，更不能依赖后端的 HTML 编码来防御 SQL 攻击。

四、底层避坑指南

数据来源： 对于接口开发中接收的 JSON/XML 数据，务必先反序列化再使用，避免直接操作原始字符串。
代码规范： 在开发 C# EMLOG 插件或独立工具时，尽量封装成类，统一使用参数化查询，养成不拼接 SQL 的肌肉记忆。
注释更新： 很多时候报错是因为注释代码没删干净，或者数据库版本变更导致的语法兼容性问题。

做好SQL注入防护，才是开发人员的基本素养。希望大家在零点博客的源码学习路上，不仅能学会怎么写代码，更能学会怎么写出安全的代码。如果觉得这个实战复盘对你有帮助，欢迎点赞收藏，下期我们聊聊爬虫开发中的反爬虫策略！