在windows窗体c#中忘记密码

Question

在下面的代码中：我想在用户尝试输入与数据库关联（不）关联的电子邮件时警告用户。当我输入某些内容不在我的数据库中时，它会显示“您的记录不在我们的数据库中”。但是当我输入有效的电子邮件时，它会显示：输入字符串的格式不正确
所以这行代码不起作用：smtpClient.Send(message);

    string randomCode = "";
    public static string to;
    public ForgotPassword()
    {
        InitializeComponent();
    }

    private void btn_EmailSend_Click(object sender, EventArgs e)
    {
        string from, pass, messagebody;
        #region Generating random code
        Random ran = new Random();
        string randText = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789";
        int Length_randText = randText.Length;
        for (int i = 0; i < 5; i++)
        {
            randomCode += randText[ran.Next(Length_randText)];
        }
        #endregion

        MailMessage message = new MailMessage();
        to = txt_Email.Text;
        from = "------";
        pass = "------";
        messagebody = "You have requested to reset your password. Enter this \"" + randomCode + "\" - code to change your password";
        message.To.Add(to);
        message.From = new MailAddress(from);
        message.Body = messagebody;
        message.Subject = "Password resetting request";
        SmtpClient smtpClient = new SmtpClient("smtp.gmail.com");
        smtpClient.EnableSsl = true;
        smtpClient.Port = 587;
        smtpClient.DeliveryMethod = SmtpDeliveryMethod.Network;
        smtpClient.Credentials = new NetworkCredential(from, pass);
        try
        {
            using (DALC.GetConnection())
            {
                SqlCommand cmd = new SqlCommand("select email from loginuser where email = '" + to + "'", DALC.con);
                object result = cmd.ExecuteScalar();
                if (Convert.ToInt16(result)>0)
                {
                    smtpClient.Send(message);
                    MessageBox.Show("I have sent your resetting code to you email. Check your inbox :)", "Success", MessageBoxButtons.OK, MessageBoxIcon.Information);
                }
                else
                {
                    MessageBox.Show("Your record is not in our database");
                }
            }
        }
        catch (Exception ex)
        {
            MessageBox.Show(ex.Message);
        }

    }

Answer 1

您实际上不应该这样做，这被认为是不好的做法。恶意用户永远无法猜出有效的电子邮件地址（在您的情况下他可以猜到）。

只有在用户正确输入电子邮件地址的情况下，您才应向用户提供带有密码重置功能的电子邮件。即使电子邮件地址不在您的数据库中，也只会出现一条没有数据泄漏的消息，即“重置密码的电子邮件已发送到您的地址”。

同样的问题也适用于登录：如果登录失败，用户应该只会收到一条无法区分名称/密码的消息，例如“您输入的用户名或密码无效”。

有关更多信息，另请参阅this question。