零点博客实战：C# 中使用预处理语句筑牢建站安全防线

在搭建和管理零点博客（以及各类 CMS 系统）的过程中，安全问题永远是悬在开发者头顶的达摩克利斯之剑。作为一名在 C# 建站开发一线摸爬滚打多年的开发者，今天我想和大家聊聊一个非常基础但至关重要的概念——预处理语句。

别让 SQL 注入毁了你辛辛苦苦的建站项目

很多初学 C# 开发的博主，为了图省事，喜欢直接把用户输入拼接到 SQL 字符串里执行。在 EMLOG 或其他开发框架中，如果你写了类似下面的代码：

string sql = "SELECT * FROM emlog_user WHERE username = '" + txtUsername.Text + "'";

这就中招了。如果恶意用户输入 `' OR '1'='1`，你的数据就全泄露了。为了杜绝这种低级错误，必须使用预处理语句。这不仅仅是语法糖，更是数据安全的护城河。

C# 中预处理语句的正确打开方式

在 ADO.NET 中，使用 `SqlCommand` 类配合参数化查询是标准做法。核心思路是：先让数据库准备好 SQL 模板，然后把数据作为“参数”传进去，而不是拼在一起。

❌ 错误示范（拼接字符串）

代码脆弱，极易被注入。

✅ 正确做法（参数化查询）

一定要使用 `Parameters.Add` 或者 `AddWithValue` 方法。

string query = "SELECT * FROM emlog_comments WHERE blogid = @BlogId AND status = 1";

using (SqlConnection conn = new SqlConnection(connectionString))
{
    conn.Open();
    using (SqlCommand cmd = new SqlCommand(query, conn))
    {
        // 这里使用参数占位符，完全防止了 SQL 注入
        cmd.Parameters.AddWithValue("@BlogId", blogId);

        using (SqlDataReader reader = cmd.ExecuteReader())
        {
            while (reader.Read())
            {
                // 逻辑处理...
            }
        }
    }
}

你看，这样写完，无论输入什么特殊字符，数据库都只会把它当成普通的文本处理，不会解析成 SQL 代码。

在 EMLOG 开发中的落地经验

我们在做 EMLOG 插件开发或者二次开发时，经常需要获取用户权限或读取文章详情。这里给大家一个 零点博客 积累的小技巧：

尽量不要写死的 SQL 查询，尽量把动态的部分提取出来作为参数。

// 动态获取当前用户 ID，而不是从 URL 拼接出来
int currentUid = Convert.ToInt32(HttpContext.Current.User.Identity.Name);

// 使用预处理语句查询该用户的所有草稿
string sql = "SELECT cid, title FROM emlog_article WHERE author = @Uid AND status = 2";
// ... 执行代码 ...

这样做不仅安全，性能也更好。因为预处理语句执行一次后，数据库就会缓存编译好的执行计划，再次执行时速度飞快。

总结

建站开发是一场持久战，代码质量决定了系统的寿命。不管你是用 C# 写后台，还是针对 EMLOG 进行接口开发，预处理语句请务必贯穿始终。希望这篇干货能帮助大家在零点博客的建站之路上少踩坑、更安全。