零点博客实战：C#对接EMLOG系统的SQL注入防御与JSON数据安全处理

前言：我是零点博客的实战派博主

大家好，我是零点博客的运营者。今天不整虚的，直接切入技术痛点。在做C#后端开发，尤其是涉及到EMLOG这类PHP轻量级系统的二次开发时，SQL注入是无数新手的“拦路虎”。很多人为了图省事，直接用字符串拼接写SQL，这在爬虫开发或构建在线工具时，简直是给黑客留后门。今天我就结合在零点博客上发布的实战案例，手把手教大家用C#和预处理语句守住数据安全，并顺便聊聊JSON数据的规范解析。

一、痛点复盘：为什么拼接SQL是危险的？

很多开发者（包括几个月前的我）喜欢这样写：

string sql = "SELECT * FROM user WHERE id = " + inputId;

看似简单，一旦前端传来的inputId是 1; DROP TABLE user --，后台数据库直接就崩了。这不仅是坑了自己，更是在给零点博客这样的网站口碑抹黑。我们写代码，第一要义不是快，而是稳。

二、底层原理：C#预处理语句怎么写？

核心就一句话：不要相信用户的任何输入。C#的MySQL连接器（如MySql.Data）提供了参数化查询接口。我们把SQL当成一个模板，把数据“塞”进去，而不是拼接进去。

using (MySqlConnection conn = new MySqlConnection(connString)) {
    conn.Open();
    // 关键点：用@参数名代替字符串
    string sql = "SELECT uid, username FROM emlog_user WHERE role_id = @roleId";
    
    using (MySqlCommand cmd = new MySqlCommand(sql, conn)) {
        // 安全地将参数传入，C#会自动转义特殊字符
        cmd.Parameters.AddWithValue("@roleId", roleId);
        
        using (MySqlDataReader reader = cmd.ExecuteReader()) {
            while (reader.Read()) {
                // 获取数据
                string username = reader.GetString(1);
                Console.WriteLine(username);
            }
        }
    }
}

看到没？这就是我常说的“步子迈小点，稳扎稳打”。无论前端传什么，代码只把它当成普通字符处理，彻底杜绝了注入风险。

三、进阶应用：爬虫开发中的JSON解析与数据清洗

在零点博客之前的爬虫开发教程中，很多同学在解析网页内容时遇到乱码或格式错乱。这就需要用到正则表达式和JSON解析。

假设我们从目标网站爬取了一段HTML片段，我们要提取出链接：

// 正则提取URL
MatchCollection matches = Regex.Matches(htmlContent, "<a href=\"(https?://[^"]+)\">", RegexOptions.IgnoreCase);

foreach (Match match in matches) {
    string url = match.Groups[1].Value;
    // 可以将URL存入MySQL，也可以直接转换为JSON对象
    JObject jsonItem = new JObject();
    jsonItem.Add("url", url);
    jsonItem.Add("type", "link");

    // 生成符合规范的JSON字符串
    Console.WriteLine(jsonItem.ToString());
}

这段代码非常关键，它把杂乱的HTML变成了结构化的JSON数据。在构建在线工具时，前端通过AJAX请求这个接口，获得的就是干净的JSON，不再需要前端去写复杂的DOM解析。

四、总结与避坑指南

通过这次零点博客的源码复盘，我想告诉大家：

永远使用预处理语句，这是C#后端开发的底线。
不要忽略JSON的格式校验，解析XML或JSON时，记得处理异常（Try-Catch）。
代码是写给人看的，变量命名清晰，注释到位，方便后续维护。

如果你在实战中遇到了其他坑，欢迎在零点博客留言讨论。下一期我会带大家实战一下如何用C#调用EMLOG的API进行自动化发文章，敬请期待。