登录验证时ExecuteScalar返回空或报未将对象引用到实例错误如何解决

问题排查及修复 #

1. 存储过程问题（核心导致ExecuteScalar返回null的原因） #

• 你当前的存储过程先执行SELECT *，如果没有匹配的用户，该查询不会返回任何结果，ExecuteScalar会直接返回null，你后续直接强转为int就会触发空引用错误
• 就算有匹配用户，SELECT *返回的第一行第一列是员工表的第一个字段值，逻辑上你只需要判断是否存在，完全不需要查询全表字段，还会带来额外性能损耗
• 存储过程修复代码：

-- 先判断是否存在，直接返回计数，不需要查全量数据
IF EXISTS(SELECT 1 FROM Employee WHERE UserName = @UserName AND pass = @pass)
BEGIN
    -- 存在才更新活跃状态
    UPDATE Employee
    SET IsActive = 1
    WHERE UserName = @UserName AND pass = @pass
    -- 返回存在标识
    SELECT 1
END
ELSE
BEGIN
    -- 不存在返回0
    SELECT 0
END

2. 控制器代码问题 #

• 你获取数据库连接后没有显式打开连接，未打开的连接执行命令会触发报错
• 没有对ExecuteScalar的返回值做空判断，直接强转int，只要返回null就会触发空引用异常
• 没有做资源释放，连接、命令对象用完没有释放，会导致数据库连接泄漏
• 控制器修复代码：

[HttpPost]
public bool IfExist(Employee emp)
{
    // 判空前置校验，避免参数为空报错
    if (emp == null || string.IsNullOrWhiteSpace(emp.UserName) || string.IsNullOrWhiteSpace(emp.UPassword))
    {
        return false;
    }
    // 用using自动释放资源
    using (var con = DB.getDatabaseConnection())
    {
        // 打开连接
        con.Open();
        using (SqlCommand com = new SqlCommand("sp_CheckUserIfExists", con))
        {
            com.CommandType = CommandType.StoredProcedure;
            com.Parameters.AddWithValue("@UserName", emp.UserName);
            com.Parameters.AddWithValue("@pass", emp.UPassword);
            // 先判断返回值是否为null/DBNull，再做转换
            var res = com.ExecuteScalar();
            int UserExist = res != null && res != DBNull.Value ? Convert.ToInt32(res) : 0;
            return UserExist > 0;
        }
    }
}

3. 前端Ajax代码问题 #

• success回调里的判断用了赋值运算符=而不是相等判断===，逻辑完全错误，不管返回的Role是什么都会直接跳转到Admin页面
• 你控制器返回的是bool类型，但是前端success里却在取data.Role字段，根本拿不到值，跳转逻辑完全失效
• 前端修复参考：

success: function (data) {
    // 先判断接口返回的是否为存在标识
    if (data) {
        // 如果你需要跳转不同角色页面，控制器需要返回角色信息而不是bool值，对应调整逻辑即可
        // 示例：if (data.Role === "Admin") window.location = "../Admin/Index";
        // else if (data.Role === "Employee") window.location = "../Employee/Index";
    } else {
        alert("用户名或密码错误");
    }
}

额外优化建议 #

• 密码不要明文存储，数据库里要存加盐后的哈希值，校验的时候把前端传的密码加盐哈希后再和数据库值比对
• 接口增加限流、登录失败次数限制，避免暴力破解
• 不用AddWithValue传参，避免隐式类型转换带来的问题，显式指定参数的SqlDbType和长度
• 数据库操作增加异常捕获，避免未处理异常直接抛给前端

内容的提问来源于stack exchange，提问作者Syed Muhammad Aousaja Ali