ASP.NET WebForm邮箱匹配折扣逻辑优化及空值处理问题

原代码存在的问题 #

• 未判断邮箱输入是否为空，页面加载时空值会触发查询逻辑
• SQL语句直接拼接用户输入，存在SQL注入风险
• DataReader使用混乱（多余的无效执行代码、循环与读取对象不匹配）
• 未正确释放数据库连接、命令等资源，可能导致连接泄漏
• 无匹配记录时直接读取DataReader字段会引发异常

修复后的代码 #

// 仅当邮箱文本框非空时执行逻辑
if (!string.IsNullOrWhiteSpace(email.Text))
{
    // 使用using语句自动释放数据库资源
    using (SqlConnection conng = new SqlConnection(ConfigurationManager.ConnectionStrings["Baglantim"].ConnectionString))
    {
        // 参数化查询，避免SQL注入
        string query = "SELECT indirimliucret FROM indirimtablosu WHERE email = @Email";
        using (SqlCommand cmdg = new SqlCommand(query, conng))
        {
            // 添加参数并赋值
            cmdg.Parameters.AddWithValue("@Email", email.Text.Trim());
            
            conng.Open();
            // 使用ExecuteScalar直接获取折扣价（仅需单个值时更高效）
            object result = cmdg.ExecuteScalar();
            
            if (result != null)
            {
                // 有匹配记录，显示折扣价
                fiyat.Text = result.ToString();
            }
            else
            {
                // 无匹配记录，清空折扣价
                fiyat.Text = string.Empty;
                // 可选：添加提示，比如 lblMessage.Text = "未找到对应折扣";
            }
        }
    }
}
else
{
    // 邮箱为空时清空折扣价
    fiyat.Text = string.Empty;
}

关键改进点 #

• 空值拦截：通过string.IsNullOrWhiteSpace(email.Text)确保仅在用户输入有效邮箱后才执行查询逻辑
• 防注入：用参数化查询替代直接拼接输入，彻底规避SQL注入风险
• 资源自动回收：using语句会自动释放连接、命令等资源，避免数据库连接泄漏
• 高效查询：使用ExecuteScalar()直接获取目标字段值，比DataReader更简洁高效
• 异常规避：通过判断result != null，确保无匹配记录时不会因读取无效字段报错

内容的提问来源于stack exchange，提问作者Serdar YAZICI