C# 实战复盘：MySQL 数据库增删改查中的字符串拼接与预处理避坑指南

前言：零点博客开发中的真实痛点

做开发这段时间，咱们零点博客经常接到一些 EMLOG 主题或独立站的需求。虽然 PHP 生态很稳，但咱们 C# 后端玩得更溜，特别是涉及高并发或 API 开发时，MySQL数据库的连接和操作是基本功。今天不扯虚的，直接拿实战案例讲讲，怎么避免 SQL 注入，怎么用好预处理语句，以及怎么处理那些让人头疼的 JSON 数据交互。

避坑第一点：别再用字符串拼接“造车”了

刚开始写代码时，咱们都喜欢图省事。比如拼接 SQL 语句：

string sql = "SELECT * FROM users WHERE username = '" + inputUser + "'";

听起来没毛病？错！这在处理用户输入时简直就是“邀请黑客”。如果 `inputUser` 是一个恶意的拼接串，整个数据库可能就炸了。

解决方案：SQL 预处理语句 (Prepared Statements)

好在 MySQL 连接器给了我们安全的方案。在 C# 中，我们应该用 MySqlParameter。这样做的好处是，数据库引擎会先把 SQL 结构解析好，参数部分只当作“数据”传进去，完全不参与编译，从而从源头堵死 SQL 注入漏洞。

实战写法如下：

string sql = "SELECT * FROM users WHERE username = @userName";

using (MySqlConnection conn = new MySqlConnection(connectionString))
{
    conn.Open();
    using (MySqlCommand cmd = new MySqlCommand(sql, conn))
    {
        // 绑定参数，安全第一
        cmd.Parameters.AddWithValue("@userName", inputUser);
        using (MySqlDataReader reader = cmd.ExecuteReader())
        {
            while (reader.Read())
            {
                // 读取数据逻辑...
            }
        }
    }
}

进阶话题：JSON 数据与正则表达式的配合

现在做接口开发，数据格式大多是 JSON。有时候我们需要对后端传来的 JSON 字符串里的特定字段进行清洗，或者结合正则表达式校验输入合法性，再把干净的值存入 MySQL。

比如，在入库前，用正则过滤掉 HTML 标签或特殊字符：

string cleanContent = Regex.Replace(rawJson, "<.*?>", string.Empty);
// 然后再把 cleanContent 写入数据库

这个流程跑通后，你的数据存储就非常规范了。

总结：稳健的代码才是好代码

无论你是做 C# 后端还是 PHP 开发，对 MySQL 数据库的操作都必须保持敬畏之心。多用预处理，少用拼接；善用 JSON 和正则辅助清洗。希望这篇来自零点博客的真实复盘，能帮你避开那些年踩过的坑。如果有源码需求或更细致的底层拆解，欢迎在评论区留言！