C#中含多验证逻辑的登录方法的正确实现方式探讨

问题背景 #

需要实现一个接收用户名和密码参数的C#登录方法，完成用户登录操作，同时要能返回「无效用户名/密码」「权限不足」「已登录」等结果，现有以下三种实现方案，哪种是正确的？

方式1：抛出异常并在UI中处理错误 #

public void Login(string username, string password)
{
       if (SessionService.GetSession.IsLoggedIn)
       {
           throw new Exception("User is already logged in");
       }

       var user = GetByUsername(username);

       if (user == null)
       {
           throw new LoginException(LoginResultEnum.InvalidUsername);
       }

       var hashPass = EncryptionService.Hash(password);
       if (hashPass != user.password)
       {
           throw new LoginException(LoginResultEnum.InvalidPassword);
       }

       if (!user.HasPermission(PermissionTypeEnum.CanLogIn))
       {
           throw new MissingPermissionException(TipoPermisoEnum.CanLogIn);
       }

       SessionService.GetSession.Login(user);
}

方式2：返回布尔值区分成功/失败 #

public bool Login(string username, string password)
{
       if (SessionService.GetSession.IsLoggedIn)
       {
           return false;
       }

       var user = GetByUsername(username);

       if (user == null)
       {
           return false;
       }

       var hashPass = EncryptionService.Hash(password);
       if (hashPass != user.password)
       {
           return false;
       }

       if (!user.HasPermission(PermissionTypeEnum.CanLogIn))
       {
           return false;
       }

       SessionService.GetSession.Login(user);
       return true;
}

方式3：返回LoginResult枚举传递状态 #

public LoginResult Login(string username, string password)
{
       if (SessionService.GetSession.IsLoggedIn)
       {
           return LoginResult.AlreadyLoggedIn;
       }

       var user = GetByUsername(username);

       if (user == null)
       {
           return LoginResult.InvalidUsername;
       }

       var hashPass = EncryptionService.Hash(password);
       if (hashPass != user.password)
       {
           return LoginResult.InvalidPassword;
       }

       if (!user.HasPermission(PermissionTypeEnum.CanLogIn))
       {
           return LoginResult.Forbidden;
       }

       SessionService.GetSession.Login(user);
       return LoginResult.OK;
}

各方案分析与结论 #

方式1的问题 #

异常的设计初衷是处理非预期的异常场景（比如数据库连接中断、空引用错误），而登录失败（用户名错误、密码错误等）属于业务逻辑中的预期情况。用异常传递这类状态会：

• 影响性能，异常的捕获和抛出开销远大于普通返回值
• 增加UI层的复杂度，需要捕获多种异常类型来区分错误原因
• 违背异常的设计原则，代码可读性变差

方式2的问题 #

返回布尔值只能区分成功和失败，但无法传递失败的具体原因。UI层无法针对「用户名错误」「密码错误」「权限不足」给出针对性提示，用户体验极差，也不利于调试和问题定位。

方式3的优势 #

这是最符合业务逻辑的实现方式：

• 通过自定义枚举LoginResult，清晰传递所有可能的登录状态，调用方可以直接根据枚举值处理不同场景
• 避免了异常滥用，也解决了布尔值信息不足的问题
• 代码可读性高，业务逻辑表达清晰，UI层能轻松给出精准的用户提示

结论：方式3是实现该登录方法的正确选择。

内容的提问来源于stack exchange，提问作者dragnash