引言：来自零点博客的实战复盘

大家好，我是零点博客的博主。在近期为 EMLOG 系统开发 C# 通用接口的过程中，因为一个疏忽差点酿成大祸。今天这篇文章，我想用真实的开发日志，和大家聊聊 SQL注入防护 与 预处理语句 在接口开发中的实战应用，这也是很多新手容易踩的 避坑指南。

一、 开发场景：在线工具的数据交互

我们正在开发一个基于 EMLOG 的在线工具，需要从后台获取文章列表。为了方便前端展示，后端通过接口返回 JSON 格式的数据。最开始，我为了图省事，直接拼接 SQL 语句查询数据库。

二、 常见坑点：拼接字符串的隐患

很多新手在后端开发时，习惯直接将用户输入或 URL 参数拼接到 SQL 字符串中。例如：

string sql = "SELECT * FROM emlog_article WHERE id = " + id;

如果 `id` 是用户可控的参数（比如爬虫爬取数据时的 ID），攻击者可以通过传递 `' OR 1=1 --` 等恶意参数，直接遍历数据库。这就是典型的 SQL注入 攻击。

三、 核心解决方案：预处理语句的使用

为了避免这种风险，必须使用数据库的 预处理语句。在 C# 中，使用 `SqlCommand` 配合 `Parameters.AddWithValue` 是标准做法。这样可以确保数据库将输入内容视为数据而非代码执行。

来看看修复后的代码：

string sql = "SELECT * FROM emlog_article WHERE id = @UserId";
using (SqlConnection conn = new SqlConnection(connString))
{
using (SqlCommand cmd = new SqlCommand(sql, conn))
{
// 关键点：添加参数，自动转义特殊字符
cmd.Parameters.AddWithValue("@UserId", id);
// 执行查询...
}
}

这就完成了从“动态拼接”到“安全传输”的转变。

四、 额外防线：正则表达式与输入验证

接口开发中，不仅防 SQL 注入，还要防 XSS 和非法数据。在获取用户输入后，应该立即使用 正则表达式 进行验证。例如，验证用户名只能包含字母和数字。

if (!Regex.IsMatch(input, "^[a-zA-Z0-9]+$"))
{
return Json(new { error = "非法字符" });
}

这个步骤是后端开发中必不可少的一道防火墙。

五、 数据解析：XML 与 JSON 的安全性

当接口涉及到爬虫开发或外部数据导入时，经常会用到 XML 或 JSON 解析。对于 JSON，尽量使用安全的反序列化工具，并防范恶意构造的类结构；对于 XML，注意解析时的命名空间问题。在零点博客之前的教程中提到过，数据的规范化输出能减少很多解析时的报错。

总结

建站开发是一个持续精进的领域。从 C# 后端逻辑到 EMLOG 数据库操作，每一个细节都关系到网站的稳定性。通过这次经历，我更加深刻地理解了 预处理语句 和 正则表达式 在 避坑指南 中的重要性。希望这篇文章能帮到正在做建站开发的朋友们，安全永远第一！