ASP.NET框架下C#登录代码执行失败排查求助

我来帮你梳理下这段登录代码里的问题，顺便给你优化方案——毕竟简洁归简洁，安全和稳定性可不能丢：

首先先把你没写完的代码补全成常规写法（方便分析）：

protected void userLogin(object sender, EventArgs e) 
{ 
    string encoded_pass = encrypt_pass(Password.Text); 
    SqlConnection connection = new SqlConnection(ConfigurationManager.ConnectionStrings["Khulna_website"].ConnectionString); 
    connection.Open(); 
    using (SqlCommand cmd = new SqlCommand ("Select * from users where user_email = @email and user_password = @password", connection))
    {
        cmd.Parameters.AddWithValue("@email", Email.Text);
        cmd.Parameters.AddWithValue("@password", encoded_pass);
        
        SqlDataReader reader = cmd.ExecuteReader();
        if(reader.HasRows)
        {
            // 登录成功逻辑
            Session["UserId"] = reader["user_id"];
            Response.Redirect("Home.aspx");
        }
        else
        {
            // 登录失败提示
            lblError.Text = "邮箱或密码错误";
        }
        reader.Close();
    }
    connection.Close();
}

1. 先堵上SQL注入的大漏洞 #

如果你的原代码是打算直接把用户输入拼进SQL语句（比如"Select * from users where user_email = '" + Email.Text + "'..."），那这是致命的安全问题——攻击者可以通过构造恶意输入直接操控你的数据库。必须用参数化查询，就像上面代码里的@email和@password占位符，让数据库自动处理参数，杜绝注入风险。

2. 别让数据库连接“流浪” #

你现在手动调用connection.Open()和connection.Close()，万一中间代码抛出异常，Close()可能不会执行，会导致数据库连接泄漏，拖垮你的站点。把SqlConnection也放进using块里，它会自动帮你释放连接，不用手动管：

using (SqlConnection connection = new SqlConnection(ConfigurationManager.ConnectionStrings["Khulna_website"].ConnectionString))
{
    connection.Open();
    using (SqlCommand cmd = new SqlCommand("Select user_id, user_name from users where user_email = @email and user_password = @password", connection))
    {
        // 命令执行逻辑
    }
}

3. 密码加密得用对方法 #

你用了encrypt_pass，但一定要确保这是不可逆的哈希加盐加密（比如BCrypt、PBKDF2），绝对不能用可逆加密（比如AES）或者过时的MD5/SHA1。记住：永远不要存储明文或能解密的密码，哪怕是自己人也不行。

4. 给代码加个“安全网” #

添加异常捕获逻辑，处理数据库连接失败、查询出错的情况，给用户友好提示，同时悄悄记录错误日志（别把错误详情暴露给用户）：

try
{
    // 登录逻辑代码
}
catch (Exception ex)
{
    lblError.Text = "登录失败，请稍后重试";
    // 这里可以用日志框架记录错误，比如：
    // System.Diagnostics.EventLog.WriteEntry("KhulnaWebsite", $"登录错误：{ex.Message}", EventLogEntryType.Error);
}

5. 别啥都查（Select *要不得） #

只查询你实际需要的字段，比如user_id、user_name就够了，既减少数据传输量，也避免敏感字段（比如用户手机号、地址）不小心泄露的风险。

内容的提问来源于stack exchange，提问作者JigJagJoe