无法阻止重复用户名注册？请分析这段防重复注册代码

这段代码想实现阻止重复用户名注册的功能，但存在不少严重问题，咱们一步步拆解，再给出靠谱的实现方案：

原代码的核心问题 #

• 致命的SQL注入漏洞：直接把用户输入的username.Text拼接进SQL语句里，攻击者只要输入类似' OR 1=1--的恶意内容，就能篡改查询逻辑，甚至直接删除你的数据库表——这是Web开发里最危险的漏洞之一，绝对不能忽视。
• 数据库资源泄漏风险：没有用using语句包裹SqlConnection和SqlCommand，要是代码执行中途抛出异常，数据库连接会一直处于打开状态，久而久之会耗尽连接池，导致整个系统无法访问数据库。
• 基础逻辑错误：代码里只创建了连接对象，但压根没调用con.Open()就执行ExecuteScalar()，这会直接抛出运行时异常，连查询都跑不起来。
• 用户体验与逻辑严谨性不足：
  • 只判断temp == 1，但如果数据库里存在多个重复用户名（比如没加唯一约束时可能出现），这个判断就不准；
  • 用Response.Write输出提示，会把文字直接插在页面最顶部，彻底打乱页面布局，用户体验极差。

正确的实现方案 #

咱们要从代码安全、资源管理、用户体验、数据库层面四个维度修复问题，做到双重保障：

第一步：先给数据库加唯一约束 #

先在UserDataTable的UserName字段上添加唯一约束，从根源上杜绝重复数据插入——就算代码层面有疏漏，数据库也会直接抛出错误，拦住重复用户名。

第二步：安全的代码实现 #

if (IsPostBack)
{
    // 先获取连接字符串
    string connectionString = ConfigurationManager.ConnectionStrings["RegistrationConnectionString"].ConnectionString;
    
    // using语句会自动释放连接和命令资源，不用手动close
    using (SqlConnection con = new SqlConnection(connectionString))
    {
        // 用参数化查询，彻底避免SQL注入
        string checkUserQuery = "SELECT COUNT(*) FROM UserDataTable WHERE UserName = @UserName";
        using (SqlCommand com = new SqlCommand(checkUserQuery, con))
        {
            // 给参数赋值，指定类型和长度，进一步提升安全性
            com.Parameters.Add("@UserName", SqlDbType.NVarChar, 50).Value = username.Text.Trim();
            
            try
            {
                con.Open(); // 执行前必须打开连接
                int userCount = Convert.ToInt32(com.ExecuteScalar());
                
                if (userCount > 0)
                {
                    // 用Label控件显示提示，保证页面布局正常
                    lblErrorMessage.Text = "该用户名已存在，请换一个试试～";
                    lblErrorMessage.ForeColor = System.Drawing.Color.Red;
                }
                else
                {
                    // 这里可以写注册逻辑，比如插入新用户数据到数据库
                }
            }
            catch (SqlException ex)
            {
                // 捕获数据库异常，针对唯一约束冲突给出明确提示
                if (ex.Number == 2627) // SQL Server唯一约束冲突的错误码
                {
                    lblErrorMessage.Text = "该用户名已存在，请换一个试试～";
                }
                else
                {
                    lblErrorMessage.Text = "注册失败，请稍后再试";
                    // 建议把异常日志记录下来，方便后续排查问题
                    // Logger.Error("注册时数据库出错", ex);
                }
            }
            // using会自动关闭连接，不用手动写con.Close()
        }
    }
}

方案亮点 #

• 彻底防SQL注入：参数化查询让数据库把用户输入当作纯数据处理，恶意内容再也无法篡改SQL逻辑。
• 自动管理资源：using语句确保连接和命令用完就释放，就算出异常也不会泄漏资源。
• 健壮的异常处理：针对数据库唯一约束冲突给出精准提示，同时处理其他异常，不会让用户看到莫名其妙的错误。
• 友好的用户体验：用Label控件显示提示，不会破坏页面布局，用户看得舒服。
• 双重保障：数据库唯一约束+代码层面查询，就算代码出点小问题，数据库也能守住最后一道防线。

内容的提问来源于stack exchange，提问作者ausaf chohan