C#登录表单中MySQL连接仅读取首条查询结果导致非首个用户登录失败的问题

我正在开发一个C#项目，之前都没遇到问题，但写登录表单时出了异常。点击按钮后会连接MySQL，查询users表的所有数据，然后检查输入的用户名密码是否和数据库里的匹配。现在的问题是第一个用户账号能正常登录，但用第二个用户账号时，就会提示“Incorrect userename or password.”（用户名或密码错误）。理论上逻辑没问题，但实际不符合预期，请问可能的原因和解决方法是什么？

相关代码：

MySqlConnection con = new MySqlConnection();
MySqlCommand com = new MySqlCommand();
public LoginForm()
{
    InitializeComponent();
    con.ConnectionString = @"Data Source=localhost;port=3306;Initial Catalog=databaseName;User id=root;password=''");
}
private void button1_Click(object sender, EventArgs e)
{
    con.Open();
    com.Connection = con;
    com.CommandText = "select * from users";
    MySqlDataReader dr = com.ExecuteReader();
    if (dr.Read())
    {
        if (txtBoxUsername.Text.Equals(dr["username"].ToString()) && txtBoxPassword.Text.Equals(dr["password"].ToString()))
        {
            lblIncorrect.Text = "";
            this.Hide();
            InjectForm f2 = new InjectForm();
            f2.Show();
        }
        else
        {
            lblIncorrect.Text = "Incorrect userename or password.";
            txtBoxPassword.Text = "";
        }
    }
    con.Close();
}

嘿，这个问题其实挺常见的，咱们一步步拆解来看：

核心问题所在 #

你的代码里dr.Read()只会读取查询结果的第一行数据！也就是说，当你执行select * from users时，结果集里是所有用户，但你只检查了第一个用户的信息。如果输入的不是第一个用户的账号密码，直接就进入else分支提示错误了，根本没去遍历检查后面的用户数据。

另外还有几个隐藏的坑得注意：

1. 直接查询所有用户数据再在客户端验证，非常不安全——万一被抓包，所有用户的账号密码都可能泄露。
2. 把MySqlConnection和MySqlCommand设为类级别的字段，多次使用容易出现连接状态异常，比如重复打开/关闭连接的问题。
3. 密码直接明文存储和验证，这是严重的安全漏洞，生产环境绝对不能这么做。

解决方法 #

1. 最优方案：让数据库筛选目标用户（高效又安全）

不要把所有用户都查出来，而是用参数化查询让数据库帮你筛选匹配输入用户名的用户，同时避免SQL注入：

private void button1_Click(object sender, EventArgs e)
{
    // 每次请求创建新的连接和命令，用using自动释放资源，避免状态问题
    using (MySqlConnection con = new MySqlConnection(@"Data Source=localhost;port=3306;Initial Catalog=databaseName;User id=root;password=''"))
    {
        con.Open();
        // 参数化查询，防止SQL注入
        string query = "select password from users where username = @Username";
        using (MySqlCommand com = new MySqlCommand(query, con))
        {
            com.Parameters.AddWithValue("@Username", txtBoxUsername.Text.Trim());
            using (MySqlDataReader dr = com.ExecuteReader())
            {
                if (dr.Read())
                {
                    // 获取数据库中存储的密码（生产环境一定要存哈希值，这里只是示例）
                    string storedPassword = dr["password"].ToString();
                    if (txtBoxPassword.Text.Equals(storedPassword))
                    {
                        lblIncorrect.Text = "";
                        this.Hide();
                        InjectForm f2 = new InjectForm();
                        f2.Show();
                    }
                    else
                    {
                        lblIncorrect.Text = "Incorrect username or password.";
                        txtBoxPassword.Text = "";
                    }
                }
                else
                {
                    // 没有找到匹配的用户名
                    lblIncorrect.Text = "Incorrect username or password.";
                    txtBoxPassword.Text = "";
                }
            }
        }
    }
}

2. 修复原始遍历逻辑（仅用于理解原理，不推荐）

如果你一定要保留查询所有用户的逻辑，需要循环读取所有行直到找到匹配的用户：

private void button1_Click(object sender, EventArgs e)
{
    bool isAuthenticated = false;
    con.Open();
    com.Connection = con;
    com.CommandText = "select * from users";
    MySqlDataReader dr = com.ExecuteReader();
    
    // 循环遍历所有用户数据
    while (dr.Read())
    {
        if (txtBoxUsername.Text.Equals(dr["username"].ToString()) && txtBoxPassword.Text.Equals(dr["password"].ToString()))
        {
            isAuthenticated = true;
            break; // 找到匹配用户，跳出循环
        }
    }
    
    dr.Close(); // 记得手动关闭DataReader
    con.Close();
    
    if (isAuthenticated)
    {
        lblIncorrect.Text = "";
        this.Hide();
        InjectForm f2 = new InjectForm();
        f2.Show();
    }
    else
    {
        lblIncorrect.Text = "Incorrect username or password.";
        txtBoxPassword.Text = "";
    }
}

3. 必须重视的安全建议

• 永远不要明文存储密码：使用BCrypt、Argon2等哈希算法存储密码的哈希值，验证时对输入的密码进行哈希后再和数据库中的哈希值比较。
• 坚持使用参数化查询：这是防止SQL注入的基本操作，绝对不能用字符串拼接的方式写SQL。
• 用using管理资源：MySqlConnection、MySqlCommand、MySqlDataReader都实现了IDisposable接口，用using可以自动释放资源，避免连接泄漏。

内容的提问来源于stack exchange，提问作者Zarcero