嗨，我是零点。最近在折腾个人博客开发，正好手头在用 C# 做一个 EMLOG 的数据迁移小工具。咱们做开发的都知道，后端最核心也最危险的就是数据库操作。网上很多教程只教你 `SELECT * FROM`，却很少提SQL注入防护这种保命的东西。今天咱就来聊聊实战中怎么用 C# 拿捏 MySQL，顺便把 JSON 数据解析和预处理语句这块干货也塞进去，全是代码和逻辑，不整虚的。
一、 为什么直接拼接字符串很危险？
前两天写代码时，我犯了个新手错，把变量直接拼进 SQL 语句里。结果本地测试没问题，一上生产环境，爬虫一跑，数据库直接被扒个底朝天。原理很简单：如果你用 `' OR '1'='1` 这种参数去查询，SQL 逻辑就崩了。所以，真正的数据库操作高手，绝对不能这么写。
二、 C# 实战：预处理语句才是正解
在 .NET 里，面对 MySQL，我们要用 `MySqlConnection` 和 `MySqlCommand`。核心在于使用参数化查询（Parameterized Queries），也就是代码里的 `AddWithValue`。
// 假设我们有一个用户登录接口，需要查询 EMLOG 的 admin 表
string sql = "SELECT user_password FROM emlog_user WHERE username = @Username";
using (MySqlConnection conn = new MySqlConnection("你的数据库连接字符串"))
{
conn.Open();
using (MySqlCommand cmd = new MySqlCommand(sql, conn))
{
// 关键点：不要拼字符串，用参数
// 这样哪怕传进来的是恶意代码，SQL 解析器也把它当普通文本处理
cmd.Parameters.AddWithValue("@Username", inputUsername);
using (MySqlDataReader reader = cmd.ExecuteReader())
{
while (reader.Read())
{
string storedHash = reader["user_password"].ToString();
// 这里可以接上后续的哈希比对逻辑
}
}
}
}
看到没？这就是数据库操作安全的基石。无论你传进来什么字符，它都逃不出 `@Username` 这个口子。
三、 从爬虫到入库：JSON 数据的处理
除了直接的 SQL 查询，我们在写建站开发工具时，经常遇到需要把爬虫抓取的 JSON 数据存入 MySQL 的情况。这时候要注意转义问题。比如你在 C# 里用 `Newtonsoft.Json` 把 API 返回的 JSON 解析成对象后，如果直接拼进 SQL，里面的引号会导致语句报错。
所以，写 SQL 前最好用 SQL Helper 的安全封装，或者手动对单引号进行转义。别问我怎么知道的，因为之前的爬虫代码因为一个单引号坑了我一下午。
四、 底层避坑指南
最后给几点我在开发 EMLOG 插件时的碎碎念：
- 连接池管理：数据库连接是很贵的资源，用完记得 `Dispose()`，或者直接用 `using` 语句块包裹，这比临时开连接快多了。
- 索引优化：EMLOG 表里如果加了太多没用的索引，你的数据库操作性能会下降。特别是那种千万级的 post 表，查询慢往往就是索引没建对。
- 正则校验：虽然 SQL 预处理能防注入，但为了防止脏数据进库，正则表达式也得安排上，比如校验邮箱格式、用户名是否合规。
总的来说，数据库操作这门课，光看书没用，得敲代码。希望这篇结合了 C# 和 MySQL 的复盘能帮到你。下次咱们聊聊正则表达式在 URL 解析里的妙用，再见！
评论一下吧
取消回复