如何判断文本框输入值是否在数据库中，实现存在更新、不存在插入？

原代码存在的问题 #

1. SQL注入风险：直接拼接用户输入到SQL语句中，恶意输入可篡改SQL逻辑，导致数据泄露或破坏
2. 匹配逻辑错误：使用LIKE匹配fullname，若用户输入包含%或_等通配符，会意外匹配多条记录；更新时用id LIKE同样不合理（若id是数字类型，=才是正确匹配方式）
3. 逻辑漏洞：查询fullname存在后，直接用lblCustomerId.Text对应的id更新，可能出现查到的fullname属于其他记录，却错误更新当前id对应记录的情况
4. 资源未正确释放：未使用using语句管理MySqlConnection、MySqlCommand、MySqlDataReader，易导致数据库资源泄漏

推荐解决方案：使用MySQL原生语法+参数化查询 #

MySQL提供INSERT ... ON DUPLICATE KEY UPDATE语法，可在一次SQL操作中完成“存在则更新，不存在则插入”的逻辑，无需先查询再执行，效率更高且避免逻辑漏洞。

步骤1：设置唯一约束

首先需确保用于判断“是否存在”的字段（比如fullname）具有唯一索引，这样MySQL才能识别重复记录：

ALTER TABLE tblcustomer ADD UNIQUE INDEX idx_fullname (fullname);

步骤2：优化后的C#代码

// 使用using自动释放数据库资源
using (var cn = new MySqlConnection("你的数据库连接字符串"))
{
    cn.Open();
    // 原生语法实现存在更新、不存在插入
    string sql = @"INSERT INTO tblcustomer(fullname) 
                   VALUES (@fullname) 
                   ON DUPLICATE KEY UPDATE 
                   fullname = @fullname;";
    // 若需更新其他字段，可修改UPDATE部分，例如：update_time = NOW()
    using (var cm = new MySqlCommand(sql, cn))
    {
        // 参数化查询，彻底避免SQL注入
        cm.Parameters.AddWithValue("@fullname", txtCustomer.Text);
        cm.ExecuteNonQuery();
    }
}

若业务需按id判断更新（原代码逻辑修正） #

如果你的实际需求是：根据lblCustomerId.Text的id判断，存在则更新该id的fullname，不存在则插入新记录，可调整代码如下：

using (var cn = new MySqlConnection("你的数据库连接字符串"))
{
    cn.Open();
    // 先查询id是否存在
    string checkSql = "SELECT COUNT(*) FROM tblcustomer WHERE id = @id";
    using (var checkCmd = new MySqlCommand(checkSql, cn))
    {
        checkCmd.Parameters.AddWithValue("@id", lblCustomerId.Text);
        int count = Convert.ToInt32(checkCmd.ExecuteScalar());
        
        string sql;
        if (count > 0)
        {
            // id存在则更新
            sql = "UPDATE tblcustomer SET fullname = @fullname WHERE id = @id";
        }
        else
        {
            // id不存在则插入
            sql = "INSERT INTO tblcustomer(id, fullname) VALUES (@id, @fullname)";
        }
        
        using (var cmd = new MySqlCommand(sql, cn))
        {
            cmd.Parameters.AddWithValue("@id", lblCustomerId.Text);
            cmd.Parameters.AddWithValue("@fullname", txtCustomer.Text);
            cmd.ExecuteNonQuery();
        }
    }
}

内容的提问来源于stack exchange，提问作者John Cloed Guarra