前言：别让“脚本小子”拿下你的数据库

大家好，我是零点。在做建站开发和爬虫开发时，我常听到新手问：“我的EMLOG博客或C# Web API真的安全吗？”其实，很多网站漏洞并非出在复杂的算法上，而是死于最基础的SQL注入。作为一名资深开发者，今天就来复盘一下，如何在PHP（EMLOG）和C#后端开发中，从底层代码逻辑彻底杜绝这类隐患。

一、 认清“SQL注入”的本质

简单来说，SQL注入就是黑客通过输入框或其他输入渠道，将恶意的SQL代码混杂在正常请求中，从而欺骗数据库执行非法指令。例如，原本查询ID为1的用户，如果输入`1' OR '1'='1`，数据库可能就会返回所有用户数据。

二、 必杀技：预处理语句与参数化查询

防御SQL注入的唯一且最核心的解决方案，就是使用预处理语句。它将SQL的结构与数据分离开来，数据库只负责执行编译好的结构，无法解析掺杂其中的恶意代码。

1. C# 后端实战：SqlParameter 的正确打开方式

在C#开发中，无论你是用ADO.NET还是Web API，都强烈建议使用`SqlParameter`。

// 错误示范（极易被注入）
string sql = "SELECT * FROM users WHERE username = '" + inputName + "'";
// 此时如果 inputName 是 "admin' -- ", 查询就会直接失效后续条件。

// 正确示范（零点博客推荐写法）
using (SqlConnection conn = new SqlConnection(connectionString))
{
    string sql = "SELECT * FROM users WHERE username = @Username";
    SqlCommand cmd = new SqlCommand(sql, conn);
    // 关键点：使用参数化对象
    cmd.Parameters.AddWithValue("@Username", inputName);
    conn.Open();
    // 执行查询...
}

这种写法，无论你输入什么字符，数据库都将其视为纯粹的文本，彻底阻断SQL注入路径。

2. PHP/EMLOG 环境：PDO 的使用

如果你使用的是EMLOG等PHP建站系统，推荐直接使用PDO扩展。它支持面向对象和面向过程的写法，且默认开启预处理。

// 禁止字符转义，使用预处理
$stmt = $pdo->prepare("SELECT * FROM user WHERE id = :id");
$stmt->execute([':id' => $user_id]);
$result = $stmt->fetchAll();

三、 辅助防御：前端JS校验与正则清洗

虽然预处理语句是后端的最后一道防线，但我们在前端HTML/CSS/JS开发中也不能掉以轻心。可以利用正则表达式对用户输入进行初步清洗。

例如，过滤SQL常见的攻击符号（如单引号、分号）：

function validateInput(str) {
  const pattern = /[;']+/g; 
  return str.replace(pattern, '');
}

这能有效减少恶意用户的操作成本。

四、 JSON与接口开发中的注意事项

在做接口开发时，前端往往直接传递JSON数据。后端解析JSON后，直接进行数据库操作也是大忌。

切记：接收到的任何外部数据（包括Header、Body、Query String），在落地到MySQL数据库之前，都必须经过SQL注入过滤和类型校验。

结语

建站开发没有捷径，SQL注入的防范意识必须刻在代码里。希望这篇基于零点博客实战经验的文章能帮到大家，拒绝套路，写出安全的代码！如果你有更独特的避坑技巧，欢迎在评论区交流。