零点博客原创：从底层原理到代码实战，彻底搞定C# MySQL SQL注入防护与预处理

大家好，我是零点博客的主理人。今天要聊一个老生常谈但常谈常新的话题——SQL注入。在开发 EMLOG 插件或者基于 C# 的 Web 接口时，很多小伙伴为了省事，喜欢直接拼接字符串，结果后端还没上线，就已经被黑客拿下了。今天我不讲虚的，直接上干货，结合我的实际开发复盘，手把手教你如何编写“坚不可摧”的 C# 数据库操作代码。

一、还在用字符串拼接？那是给自己挖坑

很多新手开发者在写 C# 连接 MySQL 时，代码长这样：

string name = txtName.Text;
string sql = "SELECT * FROM users WHERE username = '" + name + "'";
MySqlConnection conn = new MySqlConnection(connStr);
conn.Open();
MySqlCommand cmd = new MySqlCommand(sql, conn);

看似没问题？大错特错！ 这就是典型的 SQL注入攻击入口。如果你把输入框里的内容写成 ' OR '1'='1，整个查询就变成了 SELECT * FROM users WHERE username = '' OR '1'='1'。这句语句永远为真，数据库里所有人的数据都会被脱光。

二、底层拆解：预处理语句是如何“隔离”危险的？

为什么预处理语句能防住？这就涉及到底层原理了。当你使用 @name 这种参数化语法时：

第一步（编译）： 数据库会先编译 SQL 的结构（比如表名、字段名），这时候它根本不关心你传的值是什么。
第二步（执行）： 当你传入值时，数据库会把这个值当作纯粹的“数据”来处理，而不是“指令”。

举个例子，如果你传 admin' --，数据库会把它当成一个要查找的用户名叫 admin' --，而不是执行后面的非法命令。

三、真人博主复盘：C# 实战代码避坑指南

在零点博客的项目中，我们统一使用 MySQL.Data.Connector 库。下面是一套完整的、安全的用户登录/查询接口写法，涵盖了从接收 JSON 到返回结果的全过程：

[HttpPost]
[Route("api/login")]
public IActionResult Login([FromBody] LoginDto user)
{
    string connStr = "Server=localhost;Database=test_db;Uid=root;Pwd=123456;";
    string sql = "SELECT id, username, role FROM users WHERE username = @username AND password = @password";

    // 使用 using 自动释放资源，防止连接池泄漏
    using (MySqlConnection conn = new MySqlConnection(connStr))
    {
        try
        {
            conn.Open();
            // 核心关键点：使用 MySqlCommand 构造 SQL 时，把参数传进去
            using (MySqlCommand cmd = new MySqlCommand(sql, conn))
            {
                // 添加参数，注意这里不要拼接字符串！
                cmd.Parameters.AddWithValue("@username", user.Username.Trim());
                cmd.Parameters.AddWithValue("@password", user.Password.Trim());

                using (MySqlDataReader reader = cmd.ExecuteReader())
                {
                    if (reader.Read())
                    {
                        // 模拟生成 JWT Token
                        string token = GenerateToken(reader["username"].ToString());
                        return Ok(new { code = 200, message = "登录成功", data = new { token } });
                    }
                    else
                    {
                        return Unauthorized(new { code = 401, message = "用户名或密码错误" });
                    }
                }
            }
        }
        catch (Exception ex)
        {
            // 记录日志，不要直接把 SQL 异常返回给前端
            return StatusCode(500, new { code = 500, message = "系统异常" });
        }
    }
}

四、深度避坑：除了预处理，我们还要注意什么？

虽然预处理解决了 99% 的 SQL注入问题，但零点博客在实战中总结了几个容易被忽视的细节：

转义特殊字符： 如果必须做字符串拼接（比如日志记录），一定要手动转义单引号、分号等符号。
数字类型的坑： 传参时务必确保是数字类型。如果后端定义的是 int，但前端传了 1;DROP TABLE users;，数据库可能还是会报错，但如果转换失败或者发生类型混淆，依然存在风险。
SQL 注入绕过： 黑客有时候会使用 `UNION SELECT` 猜测数据库结构。所以，永远不要 SELECT *，只查你需要的字段。

五、总结

作为一名技术博主，我强烈建议大家在开发 EMLOG 模板、C# 接口甚至 PHP 后端时，把参数化查询写入开发规范里。不要为了省那几行代码的功夫，去冒数据泄露的风险。今天这篇关于 SQL注入的防护文章，包含底层原理和完整源码，希望能帮到正在做后端开发的你。

如果你觉得有用，欢迎收藏零点博客，后续我会分享更多关于正则表达式匹配和爬虫开发的进阶技巧！