System.Data.OleDb.OleDbException异常求助：命令处理时发生错误

核心错误点 #

• SQL语法错误：SQL语句中where ='"+textBox1.Text+"'部分缺少字段名，比如若textBox1对应密码输入，应写成password='"+textBox1.Text+"'，缺失字段名会导致数据库无法解析命令，直接抛出OleDbException。
• 输入验证冗余错误：两个else if分支都在判断textBox1.Text.Equals(" ")，第二个分支应该验证密码输入框（textBox2）是否为空。
• 登录逻辑错误：无论登录成功或失败，都会打开Form2并隐藏当前窗体，不符合正常登录流程，失败时应停留在当前页面提示错误。
• SQL注入风险：直接拼接用户输入到SQL语句中，存在严重安全漏洞，可能被恶意利用攻击数据库。

修复后的代码 #

void login()
{
    // 先做输入合法性验证，覆盖空值和纯空格情况
    if (string.IsNullOrWhiteSpace(textBox1.Text))
    {
        MessageBox.Show("请输入用户名");
        return;
    }
    if (string.IsNullOrWhiteSpace(textBox2.Text))
    {
        MessageBox.Show("请输入密码");
        return;
    }

    // 使用参数化查询修正SQL语法并避免注入风险
    string sql = "SELECT COUNT(*) FROM admin WHERE username = ? AND password = ?";
    using (OleDbDataAdapter da = new OleDbDataAdapter(sql, conn))
    {
        // OleDb参数按顺序匹配，需与SQL中占位符顺序一致
        da.SelectCommand.Parameters.AddWithValue("@username", textBox1.Text);
        da.SelectCommand.Parameters.AddWithValue("@password", textBox2.Text);
        
        DataTable dt = new DataTable();
        da.Fill(dt);

        if (Convert.ToInt32(dt.Rows[0][0]) == 1)
        {
            Form2 f = new Form2();
            f.Show();
            this.Hide();
        }
        else
        {
            MessageBox.Show("用户名或密码错误");
        }
    }
}

额外注意事项 #

• 确认admin表中存在username和password字段，字段名称需与SQL语句中完全一致（部分数据库区分大小写）。
• 数据库连接conn需确保配置正确，建议使用using语句管理连接资源，避免连接泄漏。
• 生产环境中不要明文存储密码，应使用哈希算法（如SHA256）加密后存储，验证时对用户输入的密码做同样加密再匹配。

内容的提问来源于stack exchange，提问作者Ahmed Ali