C# 建站实战：用预处理语句彻底搞定 SQL 注入

在零点博客分享开发经验这些年，经常看到有朋友在论坛问：“博主，我的EMLOG插件或者网站后台怎么突然数据被删了？” 90% 的情况都是没做好安全防护。作为在建站开发一线摸爬滚打的开发者，今天咱们不聊虚的，直接聊聊核心安全话题——预处理语句。这可是 C# 写代码时保护数据库不被“炸毁”的最后一道防线。

为什么拼接 SQL 是大忌？

刚入行的时候，我也喜欢直接把变量拼进 SQL 字符串里，简单粗暴。比如大家熟悉的这种写法：

string sql = "SELECT * FROM users WHERE name = '" + username + "'";

别笑，很多新手包括某些开源插件的作者都踩过这个坑。如果用户输入的不是“张三”，而是 admin'; DROP TABLE users--，原本想查人的代码瞬间就变成了一句话删库指令。这就是 SQL 注入。而在百度和必应的搜索排名里，这种安全问题也是开发者的高频搜索词，也是我们要重点避开的。

预处理语句到底在搞什么鬼？

其实原理很简单：数据库不是傻子。使用预处理语句，本质上是把“结构”和“数据”分开处理。你先告诉数据库“我要执行一条查询语句”，让数据库先编译好计划，然后再把具体的参数像填空题一样塞进去。

在C# 的开发中，利用 .NET 自带的 SqlCommand 和 SqlParameter 就能轻松实现。这种方式即便数据里带有特殊字符，数据库也会把它当成普通字符处理，而不是代码指令。

零点博客出品：可落地的 C# 防注入代码

下面这段代码，是在我维护个人项目时常用的标准写法，大家可以直接复制到自己的建站开发项目中参考：

using System.Data.SqlClient;

public User GetUser(string username)
{
    User user = null;
    // 1. 建立连接（实际项目中建议用配置文件读取连接字符串）
    using (SqlConnection conn = new SqlConnection("Server=localhost;Database=myBlog;User Id=sa;Password=123456;"))
    {
        // 2. 使用参数化查询，这就是预处理语句的体现
        string sql = "SELECT * FROM users WHERE username = @UserName";

        using (SqlCommand cmd = new SqlCommand(sql, conn))
        {
            // 3. 绑定参数，数据库会自动识别这是数据而非代码
            cmd.Parameters.AddWithValue("@UserName", username);

            conn.Open();
            using (SqlDataReader dr = cmd.ExecuteReader())
            {
                if (dr.Read())
                {
                    user = new User
                    {
                        Id = (int)dr["Id"],
                        Username = (string)dr["Username"]
                    };
                }
            }
        }
    }
    return user;
}

看到区别了吗？我们把 @UserName 抽离了出来，只负责接收数据。这样无论用户输入什么，到了数据库里，它就是个普通变量，再变态的注入脚本也失效了。

写在最后

无论是开发EMLOG主题插件，还是自己用 C# 写一套博客系统，安全永远是第一位的。不要等到黑客攻击来了才去修补漏洞。希望这篇关于预处理语句的干货，能帮大家写出让用户放心的代码。如果你觉得有用，欢迎在零点博客留言交流，或者把这篇文章分享给你的建站同行。