零点博客技术复盘：C#开发EMLOG插件实战——SQL注入防护与JSON数据清洗实操教程

最近在维护零点博客时，为了优化数据展示，我决定在EMLOG中接入一个C#开发的定时爬虫接口。在将爬取到的XML/JSON数据存入MySQL数据库的过程中，踩了不少坑，也深刻体会到了安全开发的重要性。今天这篇文章就以**实操教程**的形式，手把手带大家拆解C#在后端开发中的安全防护与数据处理技巧。

一、为什么要在EMLOG里用C#写后端？

很多博主习惯PHP写逻辑，但我个人更习惯C#的强类型和丰富的库。零点博客目前的架构就是C#配合MySQL。在写爬虫接口时，直接拼接SQL语句是大忌，也是后端开发最容易被忽视的雷区。

二、防御SQL注入：预处理语句是唯一的王道

在编写代码时，我最初习惯用字符串拼接，比如 $"SELECT * FROM post WHERE title like '%{searchStr}%'"。结果一测试，非法字符直接把库炸了。这是典型的SQL注入场景。

作为一份硬核的实操教程，这里必须强调：一定要用参数化查询（预处理语句）。看下面的底层代码拆解：

using (SqlConnection conn = new SqlConnection(connString))
{
    // 注意：这里只写占位符 @Title，不要把用户输入拼进SQL里！
    string sql = "SELECT * FROM emlog_post WHERE title LIKE @Title AND cid = @Cid";

    using (SqlCommand cmd = new SqlCommand(sql, conn))
    {
        // 这一步就是预处理：告诉数据库，下面传的是参数，不是代码
        cmd.Parameters.AddWithValue("@Title", "%" + keyword + "%");
        cmd.Parameters.AddWithValue("@Cid", 1);

        conn.Open();
        using (SqlDataReader reader = cmd.ExecuteReader())
        {
            while (reader.Read())
            {
                // 处理数据，防注入关键就在这
            }
        }
    }
}

通过这种方式，无论用户输入什么字符（哪怕是 1 OR 1=1），数据库都会把它当成纯文本处理，彻底断绝SQL注入风险。

三、爬虫数据清洗：正则表达式与JSON解析

爬虫抓回来的数据往往是一团乱麻，特别是HTML或JSON字符串。这时候就需要用到正则表达式。

假设我们抓取到一个网页的标题，但没有结构标签包裹，只有一堆杂乱的文本。我们可以提取标题的正则：Regex.IsMatch(content, "(.*?)")。

底层拆解：JSON解析避坑指南

在解析接口返回的JSON时，如果数据量小，用Newtonsoft.Json转换很方便；如果数据量极大（比如导出百万级数据），简单的序列化会OOM（内存溢出）。这时候建议手动读取流并使用JsonTextReader逐行处理，这是一种更底层的优化方案。

四、总结与避坑指南

通过这次零点博客的开发，我总结了三个核心点：

永远不要信任用户输入：无论是C#还是PHP，永远使用预处理语句操作MySQL。
学会用工具：Postman调试接口，正则表达式大师或在线工具验证规则。
关注细节：在处理大量JSON/XML时，注意流式处理，避免内存占用过高导致服务器宕机。

以上就是本次关于C#、EMLOG及安全开发的**实操教程**复盘，希望能帮到正在做后端开发的各位同学，少走弯路！