Kotlin搭配XHTML与SQL开发网站时如何校验数据库内的登录用户名与密码匹配？

先修正现有代码的基础问题 #

• 原代码的空值判断存在逻辑笔误：当前判断分支里写的是usernamefield == null，这是常量字段名的引用，永远不会捕捉到“用户没填用户名”的场景，需要替换为判断实际接收到的参数值loginusernameValue是否为空。
• 空值校验不要仅判断null，补充对全空格无效输入的判断，用isNullOrBlank()替代单独的null判断，避免用户输入纯空格绕过校验。

核心校验逻辑实现 #

整个逻辑不需要复杂的分层，直接在现有else分支中完成数据库校验即可，核心流程为：

• 复用注册阶段已经配置好的数据库连接实例，不需要单独新建连接池逻辑
• 采用参数化SQL一次完成双字段匹配，避免拆分查询带来的额外性能开销和SQL注入风险
• 根据查询结果做分支跳转，分别处理登录成功、密码用户名不匹配的场景

可直接补全到现有代码块中的参考实现：

// 补全修正后的判断分支
if (loginpasswordValue.isNullOrBlank() || loginusernameValue.isNullOrBlank()) {
    // 保留原代码中空值时的提示页面结构即可
    Head {
        title{
            +"Login Failed"
        }
    }
    Body{
        div {
            +"Please fill out all gaps!"
        }
        div {
            form {
                action = "./"
                button {
                    type = ButtonType.submit
                    + "Back to Login"
                }
            }
        }
    }
} else {
    // 获取项目已有的数据库连接
    val database = ProjectDB.getConnection()
    // 编写匹配查询：只需要统计匹配的记录数，不需要拉取全量用户字段，匹配你设计的用户表结构即可
    val matchSql = "SELECT COUNT(1) AS matched FROM user_account WHERE username = ? AND pwd_hash = ?"
    // 复用注册时使用的同套密码哈希算法处理用户输入的密码，注意不要用明文比对
    val inputPwdEncrypted = encryptPassword(loginpasswordValue)

    // 执行参数化查询
    val preparedStatement = database.prepareStatement(matchSql).apply {
        setString(1, loginusernameValue)
        setString(2, inputPwdEncrypted)
    }
    val queryResult = preparedStatement.executeQuery()
    val loginPassed = queryResult.next() && queryResult.getInt("matched") > 0

    // 结果分支处理
    if (loginPassed) {
        Head {
            title { +"Login Success" }
        }
        Body {
            div { +"Welcome, ${loginusernameValue}!" }
            // 此处可补充会话写入、登录后跳转主页的逻辑
        }
    } else {
        Head {
            title { +"Login Failed" }
        }
        Body {
            div { +"Incorrect username or password, please recheck." }
            div {
                form {
                    action = "./"
                    button {
                        type = ButtonType.submit
                        + "Back to Login"
                    }
                }
            }
        }
    }
}

实现注意事项 #

• 禁止直接将用户输入的参数拼接到SQL语句字符串中，必须使用PreparedStatement的占位符传参，从根源上规避SQL注入风险
• 数据库内禁止存储明文密码，注册、登录环节必须使用带随机盐的单向哈希算法处理密码后再做比对，避免数据库泄露后用户密码直接被窃取
• 查询时只需要返回匹配的记录数即可，不需要拉取用户全部字段，减少不必要的数据传输开销

内容的提问来源于stack exchange，提问作者mxrvin