零点博客实战复盘：C#开发EMLOG接口防注入必杀技——深入理解预处理语句

前两天在零点博客折腾那个基于 C# 的 EMLOG 接口转换工具时，差点栽了大跟头。当时为了图省事，直接把用户输入拼接到 SQL 语句里去查 MySQL 数据库。结果还没来得及上线爬虫，数据库里就多了一堆乱七八糟的测试垃圾数据，甚至差点导致表锁定。今天就来聊聊，为什么我们一定要用预处理语句，以及它是如何在底层保护你的数据的。

一、 痛点：直接拼接 SQL 是什么样子的？

很多刚入行的朋友，写查询逻辑时特别喜欢这样干：


string sql = "SELECT * FROM emlog_article WHERE title LIKE '%" + keyword + "%'";

看起来好像没问题吧？但我告诉你，这就是典型的SQL注入风险点。如果黑客在 `keyword` 里输入 "%' OR '1'='1"，你的查询逻辑瞬间就会变成查询所有文章，数据库权限直接被绕过。

二、 招式：什么是预处理语句？

要解决这个问题，核心就是切换到预处理语句模式。别被这个名字吓到，它的原理其实很简单：就是先把 SQL 的“骨架”搭好，把需要用户填空的地方用占位符（比如问号 `?` 或命名参数）代替。

这么做的好处是，数据库会先把这个骨架“编译”一遍。之后你填进去的数据，数据库会把它当成“纯文本”处理，而不是当成可执行的代码。这样一来，就算你输入了恶意的 SQL 代码，也会被当成字符串保存，而不会执行。

三、 实战：C# 结合 MySQL 的具体写法

下面我用一套真实的 C# 代码，展示如何用 MySQL 的驱动去封装这个逻辑，最后返回 JSON 给前端调用。这可是我在开发爬虫和在线工具时亲测有效的方案。

1. 定义带参数的 SQL 骨架


string sql = "SELECT title, uid FROM emlog_article WHERE uid = ?uid";

2. 使用 MySqlCommand 执行预处理


using (MySqlConnection conn = new MySqlConnection(connStr)) {
conn.Open();

using (MySqlCommand cmd = new MySqlCommand(sql, conn)) {
    // 关键点：在这里绑定参数，而不是手动拼接字符串
    cmd.Parameters.AddWithValue("?uid", userId);

    using (MySqlDataReader reader = cmd.ExecuteReader()) {
        while (reader.Read()) {
            // 这里的逻辑就是将查询结果逐行解析
            // 如果是做接口开发，通常会转为 JSON 对象
            var data = new {
                title = reader["title"].ToString(),
                author = reader["uid"].ToString()
            };
            jsonBuilder.AppendLine(JsonConvert.SerializeObject(data));
        }
    }
}

}

四、 底层拆解与避坑指南

虽然 C# 的 `MySqlConnector` 库很智能，但我们在开发工具时还要注意几个细节：

  1. 参数类型要匹配： 绑定参数时，尽量明确类型，比如用 `AddWithValue("?uid", Convert.ToInt32(input))`，避免因为类型转换导致 MySQL 抛出异常。
  2. 事务处理： 如果你的接口需要同时操作多张表（比如 EMLOG 的文章和评论表），预处理语句配合事务（`Transaction`）才是王道，确保要么全成功，要么全回滚。
  3. JSON 解析： 查询出来的结果集最后都要转成 JSON 格式供前端调用，记得在 C# 中引入 Newtonsoft.Json 或 System.Text.Json 库。

掌握好预处理语句，你的 C# 后端开发之路至少能安全一半。在零点博客，我们不写花哨的框架，只分享真正能跑、能用的底层逻辑。赶紧去改改你那串危险的拼接代码吧！