如何根据用户详细信息将值从数据库传递给标签

Question

我有一个登录表，每个用户都有不同的角色，例如员工、管理员。
我可以让用户成功登录，他们的用户名显示在控制台应用程序的页面之间。
我正在尝试在用户名标签旁边添加一个新标签，因此登录后下一页将有类似这样的内容 Admin: Johny or Staff: Bob

我试图做的是将查询更改为：

"SELECT Role From User_Table WHERE eb_number='" + usernametxt.Text + "' and Password = '" + textBox1.Text + "'",con);

但这也不起作用。

private void loginbtn_Click(object sender, EventArgs e)
{

    //GRANT ACCESS TO THE DATABASE WITH USERNAME AND PASSWORD WHICH IS STORED IN THE DATABASE.
    SqlConnection con = new SqlConnection(conString);
    con.Open();
    if (con.State==System.Data.ConnectionState.Open)
    {
        SqlDataAdapter sda = new SqlDataAdapter("SELECT Count(*) From User_Table WHERE eb_number='" + usernametxt.Text + "' and Password = '" + textBox1.Text + "'",con);
        DataTable dt = new DataTable();
        sda.Fill(dt);
        if (dt.Rows[0][0].ToString() == "1")
        {
            this.Hide();

            Main ss = new Main(usernametxt.Text); //usernametxt is passed in to prevent error
            ss.Show();
            MessageBox.Show("Logged in sucessfully");

        }
        else
        {
            MessageBox.Show("Incorrect Username/Password Combination. Try Again");
        }
    }
}

Main.cs

    public Main(string Username/*, string Role*/) //passing username values 
    {
        InitializeComponent();
        Username_lbl.Text = Username;  //Displaying  username 
        //Main_Role_lbl.Text = Role;

在那一刻，我的代码只允许我登录和退出阅读用户名和密码。我不确定我是否可以通过这种方式添加在 SQL 查询中搜索用户名的角色？我期望它的代码做的是像 Admin: Johny 或 Staff: Bob 这样的登录

Answer 1

这里有一些类似于你的实现的东西：

private void loginbtn_Click(object sender, EventArgs e)
{
    var conString = "ReplaceWithMyConnectionString";
    string userRole = null;

    using (var con = new SqlConnection(conString))
    {
        con.Open();

        var cm = con.CreateCommand();
        cm.CommandType = System.Data.CommandType.Text;
        cm.CommandText = "SELECT TOP 1 Role FROM User_Table WHERE eb_number = @eb_number AND and Password = @Password";
        cm.Parameters.Add(new SqlParameter("@eb_number", System.Data.SqlDbType.VarChar, 50) { Value = usernametxt.Text });
        cm.Parameters.Add(new SqlParameter("@Password", System.Data.SqlDbType.VarChar, 50) { Value = textBox1.Text });

        using (var reader = cm.ExecuteReader(System.Data.CommandBehavior.SingleRow))
        {
            if (reader.Read())
            {
                userRole = reader["Role"].ToString();
            }
        }
    }

    if (userRole != null)
    {
        this.Hide();

        Main ss = new Main(usernametxt.Text, userRole); //usernametxt is passed in to prevent error
        ss.Show();
        MessageBox.Show("Logged in sucessfully");
    }
    else
    {
        MessageBox.Show("Incorrect Username/Password Combination. Try Again");
    }
}

有一些不同的地方，我会解释它们背后的原因：

• 我用参数替换了您在 SQL 上执行的字符串连接。这是为了避免 SQL 注入。你有没有想过 如果用户在 用户名或密码文本框？还有更多，请研究这个主题。
• 我正在using 语句中实例化您的连接。这将确保在我们完成 db 内容后您的连接已关闭（处置）。
• 将 DataAdapter/DataTable 替换为更精简的 SqlCommand/SqlDataReader 类。
• 我以一种可以尽快关闭连接的方式分离逻辑，并且不会因调用 MessageBox.Show() 而中断。

另外，非常重要的是，永远不要将您的密码以明文形式存储在数据库中，请对散列函数进行一些研究，以及为什么应该在这种情况下使用它们。

我希望这会有所帮助。