ASP.NET向SQL Server存储MD5加密密码时遇语法与类型转换错误

咱们一步步拆解你遇到的问题，从加密代码的bug到SQL存储的正确姿势，都给你理清楚：

1. 先修复你的MD5加密代码 #

你的加密方法里藏着一个容易忽略的错误：循环从i=1开始，这会丢掉MD5哈希结果的第一个字节！MD5哈希是标准的16字节（128位），循环必须从i=0起步才能拿到完整的哈希值。另外，用ASCII编码处理密码可能会导致非ASCII字符的哈希不一致，建议换成UTF-8更通用。

修正后的代码：

// 直接返回byte[]，适配数据库的binary(16)字段
public static byte[] EncryptMd5ToBytes(string textToEncrypt)
{
    using (MD5CryptoServiceProvider md5 = new MD5CryptoServiceProvider())
    {
        // 用UTF-8编码避免特殊字符的哈希异常
        byte[] inputBytes = Encoding.UTF8.GetBytes(textToEncrypt);
        return md5.ComputeHash(inputBytes);
    }
}

// 可选：如果需要十六进制字符串用于调试或其他场景
public static string EncryptMd5ToString(string textToEncrypt)
{
    byte[] hashBytes = EncryptMd5ToBytes(textToEncrypt);
    StringBuilder str = new StringBuilder();
    foreach (byte b in hashBytes)
    {
        str.Append(b.ToString("x2"));
    }
    return str.ToString();
}

2. 绝对不要用字符串拼接SQL，改用参数化查询 #

你之前的字符串拼接不仅会触发语法错误，还存在致命的SQL注入风险！参数化查询能同时解决这两个问题，还能自动处理数据库类型映射，彻底避免类型转换报错。

修改你的数据库执行逻辑（假设你的DBManager支持参数传递，或者直接用原生SqlCommand）：

string query = "INSERT INTO accounts(email, password, user_type) OUTPUT inserted.id VALUES (@Email, @Password, 0);";

// 用参数化方式构建命令
using (SqlCommand cmd = new SqlCommand(query, yourSqlConnection))
{
    // 添加参数并指定对应的数据类型
    cmd.Parameters.Add("@Email", SqlDbType.VarChar).Value = clientBLL.email;
    // 直接传入MD5生成的byte[]，完美匹配数据库的binary(16)字段
    cmd.Parameters.Add("@Password", SqlDbType.Binary, 16).Value = EncryptMd5ToBytes(clientBLL.password);
    
    yourSqlConnection.Open();
    string accountId = cmd.ExecuteScalar().ToString();
    yourSqlConnection.Close();
}

如果你的DBManager有封装好的参数传递方法，只需要把参数列表传入即可，核心原则就是永远不要把变量直接拼进SQL字符串里。

3. 搞懂你之前报错的原因 #

• 不加单引号时：SQL会把clientBLL.password的十六进制字符串当成一堆数字和符号的无序组合，自然会触发语法错误（Incorrect Syntax near ' '）。
• 加单引号时：数据库会把这个字符串识别为varchar类型，而你的字段是binary(16)，SQL Server无法自动将十六进制字符串转为二进制，所以报类型转换错误。
  用参数化查询直接传递byte[]，数据库会自动匹配binary(16)类型，完美解决这些问题。

内容的提问来源于stack exchange，提问作者user8951186