零点博客实战复盘：C#爬虫如何精准抓取JSON数据并安全存入MySQL数据库？附防注入源码

写在前面：从EMLOG插件开发看数据安全

最近在零点博客折腾 EMLOG 主题优化，需要把一些外部数据同步到本地。刚开始我想着直接拼接字符串存入 MySQL数据库，结果本地跑得风生水起，一上线直接被黑客把库里的用户表给删了。那一刻我才意识到，作为开发者，SQL注入防护不是选择题，是必答题。

今天不聊虚的，直接上干货。我会结合我手头的 C# 爬虫项目，把“数据抓取 -> JSON解析 -> 安全入库”的完整链路拆解给你看。这也是很多新手容易忽略的底层逻辑。

一、爬虫开发：告别拼接，拥抱正则与JSON

大家写爬虫最喜欢干的一件事就是暴力匹配 HTML 标签。但在实际开发中，正则表达式写不好极其消耗性能，还容易漏数据。我们这次的目标是抓取一个 JSON 格式的 API 接口，然后解析其中的用户信息。

在 C# 中，我使用了 System.Net.Http.HttpClient 配合 System.Web.Script.Serialization.JavaScriptSerializer 来处理响应数据。这比笨办法去写一大堆正则匹配要稳健得多，而且天然支持中文乱码的解决。

// 模拟获取数据并反序列化
string apiUrl = "http://example.com/api/users";
var content = new HttpClient().GetStringAsync(apiUrl).Result;
var serializer = new JavaScriptSerializer();
var result = serializer.Deserialize<List<User>>(content);

二、核心痛点：如何在存储时实现SQL注入防护？

拿到了数据，接下来就是入库。这是重灾区。很多人还在用下面这种“原始人”写法：

string sql = "INSERT INTO users (name, email) VALUES ('" + name + "', '" + email + "')";

这就好比你在代码里给 SQL 注入开了后门。如果用户输入的 name 包含单引号或恶意脚本，你的整个数据库就沦陷了。在开发 C# 后端或 PHP 后端时，必须使用预处理语句。

以下是基于 MySQL数据库 的安全操作示范：

using (MySqlConnection conn = new MySqlConnection(connString))
{
    conn.Open();
    // 定义带参数的 SQL 语句，问号是占位符
    string sql = "INSERT INTO users (name, email) VALUES (@name, @email)";

    using (MySqlCommand cmd = new MySqlCommand(sql, conn))
    {
        // 绑定参数，程序会自动转义特殊字符
        cmd.Parameters.AddWithValue("@name", result.Name);
        cmd.Parameters.AddWithValue("@email", result.Email);

        cmd.ExecuteNonQuery();
    }
}

三、底层避坑指南与调试技巧

项目上线后，我又踩了几个坑，特意记下来：

JSON解析容错：有时候对方接口返回的 JSON 结构会偶尔缺个字段。不要硬报错，加个 try-catch 或者判空。
正则回溯攻击：如果你还在用正则解析复杂 HTML，记得把贪婪模式换成非贪婪模式，否则 CPU 占用率能直接飙到 100%。
连接池管理：频繁开启关闭 MySQL数据库 连接很慢。用 using 块或配置好连接池是性能优化的关键。

其实做一个 C# 在线工具或者爬虫脚本，核心不在算法，而在对数据安全的敬畏。希望这篇结合实战的复盘，能帮大家少走弯路。

如果你觉得这篇 零点博客 的分享对你有用，欢迎点赞或转发！有关于 EMLOG 主题修改或 C# 后端开发的更多问题，欢迎在评论区留言，我会一一回复。