零点博客复盘：C#操作MySQL数据库的底层逻辑与SQL注入防护实战

在做EMLOG二次开发或者独立建站时，我们经常遇到需要处理复杂数据交互的场景。作为零点博客的主理人，今天不聊虚的，直接复盘一套我自己项目中用到的、C#操作MySQL数据库的实战方案。很多人（包括刚入门的）喜欢用字符串拼接SQL，觉得省事，但一旦上线被注入攻击，那锅就是背得死死的。咱们不仅要会写代码，还得知道代码在底层是怎么执行的。

一、告别字符串拼接，拥抱预处理语句

在数据库操作中，最核心的一点就是安全性。在C#中，如果你写这样的代码：

string sql = "SELECT * FROM articles WHERE title LIKE '%" + keyword + "%'";

一旦用户输入包含特殊字符（如单引号），SQL语句就会直接崩坏。正确的做法是使用预处理语句（Parameterized Queries）。这其实不是语法糖，而是告诉数据库引擎：“先准备好SQL骨架，参数由我来传，你帮我执行。”

二、源码实操：CRUD全流程解析

下面是我在零点博客后台管理模块中实际使用的一段逻辑。咱们重点看参数化查询是怎么写的：

public List<Article> SearchArticles(string keyword)
{
    var list = new List<Article>();
    // 1. 使用using语句，确保连接池自动释放，防止内存泄漏
    using (MySqlConnection conn = new MySqlConnection(ConfigurationManager.ConnectionStrings("DbConn").ConnectionString))
    {
        // 2. SQL语句中参数用@符号标记，而不是拼接字符串
        string sql = "SELECT id, title, view FROM articles WHERE title LIKE @title OR content LIKE @content";

        conn.Open();
        using (MySqlCommand cmd = new MySqlCommand(sql, conn))
        {
            // 3. 添加参数，明确指定类型，防止乱码和类型转换错误
            cmd.Parameters.AddWithValue("@title", "%" + keyword + "%");
            cmd.Parameters.AddWithValue("@content", "%" + keyword + "%");

            using (MySqlDataReader reader = cmd.ExecuteReader())
            {
                while (reader.Read())
                {
                    list.Add(new Article
                    {
                        Id = reader.GetInt32(0),
                        Title = reader.GetString(1),
                        View = reader.GetInt32(2)
                    });
                }
            }
        }
    }
    return list;
}

三、避坑指南与JSON解析

在获取到DataReader结果后，通常会涉及到JSON/XML的转换，方便前端（HTML/JS）调用接口。这里有个小坑：MySQL读取出来的二进制数据，在转JSON时如果直接用Newtonsoft.Json可能会报错，记得要先把DataReader里的数据转成DataTable或者List<dynamic>。

另外，在做爬虫开发或者批量导入数据时，`MySqlBulkLoader` 是神器，效率比单条INSERT高几个数量级，这点在处理百万级数据时一定要考虑。

总结一下：安全永远是第一位的。熟练掌握数据库操作中的参数化查询，是区分“脚本小子”和“资深开发者”的分水岭。希望这套基于C#和MySQL的复盘思路，能帮你在零点博客的技术探索路上少走弯路。