ASP.NET WEBFORMS中SQL Server Authentication登录及查询凭据复用实现

核心实现逻辑为放弃全局固定的连接字符串，将用户登录时提交的SQL凭据加密后存储在会话中，每次执行数据库操作时动态生成对应用户的连接字符串，保证所有SQL命令都以登录用户本人的SQL账号执行。

1. 实现登录校验逻辑 #

用户提交账号密码后，先校验SQL凭据的有效性，校验通过后加密存储凭据到Session：

protected void btnLogin_Click(object sender, EventArgs e)
{
    string username = txtUsername.Text.Trim();
    string password = txtPassword.Text;
    // 临时拼接连接字符串测试凭据有效性
    string testConnStr = $"Server=你的SQL实例地址;Database=目标库名;User ID={username};Password={password};Connect Timeout=5;";
    
    try
    {
        using (SqlConnection conn = new SqlConnection(testConnStr))
        {
            conn.Open();
            // 凭据有效，加密密码后存入Session，禁止存明文
            Session["SqlUsername"] = username;
            Session["EncryptedSqlPwd"] = MachineKey.Protect(Encoding.UTF8.GetBytes(password), "SqlAuthPwd");
            // 跳转到业务页
            Response.Redirect("~/Main.aspx");
        }
    }
    catch (SqlException)
    {
        lblMsg.Text = "登录失败：用户名或密码错误";
    }
}

2. 封装动态获取用户连接的公共方法 #

统一封装连接生成逻辑，避免业务代码重复拼接字符串：

public static class SqlConnectionHelper
{
    public static SqlConnection GetCurrentUserConnection()
    {
        // 校验登录状态
        if (HttpContext.Current.Session["SqlUsername"] == null 
            || HttpContext.Current.Session["EncryptedSqlPwd"] == null)
        {
            throw new UnauthorizedAccessException("用户未登录");
        }

        string username = HttpContext.Current.Session["SqlUsername"].ToString();
        // 解密密码
        byte[] encryptedPwd = (byte[])HttpContext.Current.Session["EncryptedSqlPwd"];
        string password = Encoding.UTF8.GetString(MachineKey.Unprotect(encryptedPwd, "SqlAuthPwd"));
        
        // 生成对应用户的连接字符串
        string connStr = $"Server=你的SQL实例地址;Database=目标库名;User ID={username};Password={password};";
        return new SqlConnection(connStr);
    }
}

3. 业务代码调用示例 #

所有数据库操作都通过公共方法获取连接，保证执行账号与登录用户一致，SQL日志（ldf）中可直接识别操作提交人：

// 示例：执行插入操作
using (var conn = SqlConnectionHelper.GetCurrentUserConnection())
{
    conn.Open();
    string insertSql = "INSERT INTO 业务表 (字段1, 字段2) VALUES (@val1, @val2)";
    using (SqlCommand cmd = new SqlCommand(insertSql, conn))
    {
        cmd.Parameters.AddWithValue("@val1", "业务值1");
        cmd.Parameters.AddWithValue("@val2", "业务值2");
        cmd.ExecuteNonQuery();
    }
}

注意事项 #

• 所有数据库连接必须通过using语句包裹自动释放，避免连接池泄露
• 每个用户的连接字符串独立，连接池会按用户自动隔离，属于正常表现
• 可直接在SQL Server层面配置每个SQL账号的权限，不需要在应用层重复做权限管控
• 禁止将用户明文密码存储在Session、Cookie或任何持久化存储位置，本方案使用的MachineKey加密为ASP.NET自带的安全加密方案，可直接使用

内容的提问来源于stack exchange，提问作者RaGii