Xamarin能否直接通过SQL Server查询完成登录校验而不调用Web API？

技术上完全可以实现，但生产环境绝对不建议这么做

可以实现的落地路径 #

Xamarin.Android和Xamarin.iOS都原生支持ADO.NET相关操作，你只需要给项目安装Microsoft.Data.SqlClient NuGet包，就能直接用和你ASP.NET代码里几乎一致的SqlConnection、SqlCommand相关语法实现直连SQL Server校验登录的逻辑，不需要额外对接Web API。

强烈不推荐的核心原因 #

• 安全风险极高：客户端直连数据库需要把SQL Server连接字符串硬编码到APP安装包中，攻击者仅需反编译APK/IPA就能拿到数据库账号密码，可直接对数据库进行增删改查操作，哪怕你给账号限了最低权限，也能批量导出所有用户的账号密码（你当前代码还在用明文存密码，风险再翻一倍）
• 网络兼容性差：SQL Server默认使用1433端口通信，大量公共WiFi、运营商移动网络会封禁该端口，会出现用户换个网络就登录失败的问题
• 注入风险：你现有代码直接拼接SQL字符串，存在严重SQL注入漏洞，攻击者输入特殊构造的邮箱字段就能绕过登录校验、甚至篡改删除数据库内容

仅本地测试用的优化实现示例 #

如果只是临时做内部测试用，可以参考下面修复了注入问题、资源自动释放的代码，正式上线务必对接后端Web API：

public bool VerifyLogin(string email, string inputPassword)
{
    // 测试阶段连接字符串建议存在Xamarin.Essentials的SecureStorage中，不要硬编码
    string connStr = "你的SQL Server连接字符串";
    // 密码必须加盐哈希后和数据库存储的哈希值比对，禁止明文校验
    string passwordHash = ComputeSaltHash(inputPassword); // 自行实现加盐哈希方法
    
    using (SqlConnection con = new SqlConnection(connStr))
    {
        try
        {
            con.Open();
            // 用参数化查询彻底避免SQL注入
            string selectSql = "SELECT 1 FROM [Db2021QuizLandStudent].[TestManagement].[Teacher] WHERE Email=@Email AND PasswordHash=@PasswordHash";
            string updateSql = "UPDATE [Db2021QuizLandStudent].[TestManagement].[Teacher] SET LastConnexion = CURRENT_TIMESTAMP WHERE Email=@Email AND PasswordHash=@PasswordHash";
            
            using (SqlCommand com = new SqlCommand($"{selectSql};{updateSql}", con))
            {
                com.Parameters.AddWithValue("@Email", email);
                com.Parameters.AddWithValue("@PasswordHash", passwordHash);
                
                using (var dr = com.ExecuteReader())
                {
                    return dr.HasRows;
                }
            }
        }
        catch
        {
            // 统一处理连接异常、网络错误、权限不足等问题
            return false;
        }
    }
}

内容的提问来源于stack exchange，提问作者DiamonnD