求助：基于不同数据表的ASP.NET登录表单实现

原代码存在的核心问题 #

• SQL注入漏洞：直接拼接用户输入的邮箱、密码到SQL语句中，恶意用户可轻易篡改查询逻辑，窃取或破坏数据库数据。
• 数据表查询逻辑错误：同时查询Users和Admin表却未做关联，会产生笛卡尔积，完全不符合“按角色查询对应表”的需求。
• 字段读取异常：SQL查询未包含Fullname字段，但代码中尝试读取该字段，运行时会抛出错误。
• 登录逻辑混乱：无论登录是否成功，都会执行页面跳转，比如未验证通过也会跳转到目标页面，逻辑完全错误。
• 资源泄漏风险：未使用using语句管理数据库连接、命令和阅读器，容易造成数据库连接资源无法及时释放。
• 密码验证不安全：直接明文比较密码，一旦数据库泄露，所有用户密码会直接暴露。

改进后的完整代码 #

try
{
    // 根据下拉框选择的角色确定目标数据表
    string targetTable = DropDownList1.SelectedIndex == 0 ? "Users" : "Admin";
    string query = $"SELECT Fullname, Password FROM {targetTable} WHERE Email = @Email";

    // 使用using自动释放数据库资源
    using (SqlConnection con = new SqlConnection(strcon))
    {
        using (SqlCommand cmd = new SqlCommand(query, con))
        {
            // 参数化查询，彻底避免SQL注入
            cmd.Parameters.AddWithValue("@Email", Email.Text.Trim());
            
            con.Open();
            using (SqlDataReader dr = cmd.ExecuteReader())
            {
                if (dr.HasRows && dr.Read())
                {
                    // 取出数据库中存储的密码哈希值
                    string storedHash = dr["Password"].ToString();
                    // 对用户输入的密码计算哈希值
                    string inputHash = ComputeSha256Hash(password.Text.Trim());
                    
                    // 验证密码哈希是否匹配
                    if (inputHash.Equals(storedHash, StringComparison.OrdinalIgnoreCase))
                    {
                        // 登录成功，存储用户信息与角色
                        Session["status"] = dr["Fullname"].ToString();
                        Session["userRole"] = targetTable;
                        
                        // 根据角色跳转对应页面
                        Response.Redirect(DropDownList1.SelectedIndex == 0 ? "Home.aspx" : "Users.aspx");
                        return; // 跳转后终止后续代码执行
                    }
                }
            }
        }
    }
    // 执行到此处说明登录失败
    Response.Write("<script>alert('Invalid credentials');</script>");
}
catch (Exception ex)
{
    Response.Write($"<script>alert('登录出错：{ex.Message}');</script>");
}

// 辅助方法：计算密码的SHA256哈希值
private string ComputeSha256Hash(string rawPassword)
{
    using (SHA256 sha256Hash = SHA256.Create())
    {
        byte[] hashBytes = sha256Hash.ComputeHash(Encoding.UTF8.GetBytes(rawPassword));
        StringBuilder hashBuilder = new StringBuilder();
        foreach (byte b in hashBytes)
        {
            hashBuilder.Append(b.ToString("x2"));
        }
        return hashBuilder.ToString();
    }
}

关键改进说明 #

• 参数化查询：用@Email参数替代字符串拼接，从根源杜绝SQL注入风险。
• 按角色定向查询：根据下拉框选择的角色动态确定查询表，符合业务逻辑。
• 资源自动管理：所有数据库对象用using包裹，确保连接及时关闭、资源自动释放。
• 安全的密码验证：不再明文存储或比较密码，改用SHA256哈希验证（生产环境推荐使用bcrypt等更安全的哈希算法）。
• 修正逻辑顺序：仅在登录验证成功后执行页面跳转，失败则统一提示错误。
• 异常捕获处理：捕获并展示错误信息，便于调试排查问题。

内容的提问来源于stack exchange，提问作者Anzal