0

Делаю запрос в БД Users, запрос для авторизации. Заодно нужно переменной 'office' присвоить значение из столбца logo данной строки.

Клиент вводит логин и пароль. Идет сравнение с базой и нужно еще вытащить значение из ячейки для дальнейшего сравнения (смотрите код).

Не могу сообразить, как составить запрос.

private void InputButton_Click(object sender, EventArgs e)
{
    string office="";
    SqlCommand cmd = sqlConn.CreateCommand();
    cmd.CommandType = CommandType.Text;
    cmd.CommandText = "select * from Users where login = '" + LoginBox.Text + "'and password= '" + PasswordBox.Text + "' and office=logo";
    if (office=="P1")
    {
 
    }

введите сюда описание изображения

1 ответ 1

0

Ресурсы нужно освобождать. Для этого заключаем их в блоки using.

SQL-запросы нельзя составлять с помощью конкатенации строк. Причина: Внедрение SQL-кода. Взамен используем параметры.

Так как вам в данном конкретном случае нужно вернуть всего одно значение, то в запросе пишем select logo .... И используем метод ExecuteScalar.

Если запрос не нашёл пользователя с совпадающим логином и паролем, то вернётся значение null. Можете использовать проверку if (office == null) ....

string office;

string sql = "select logo from Users where login = @login and password = @password";

using (var sqlConnection = new SqlConnection(_connectionString))
{
    sqlConnection.Open();

    using (var sqlCommand = sqlConnection.CreateCommand())
    {
        sqlCommand.CommandText = sql;

        sqlCommand.Parameters.Add("login", SqlDbType.NVarChar).Value = LoginBox.Text;
        sqlCommand.Parameters.Add("password", SqlDbType.NVarChar).Value = PasswordBox.Text;

        office = (string)sqlCommand.ExecuteScalar();
    }
}

Здесь _connectionString - строка соединения. Она является полем класса.


А теперь самое главное. Не храните в БД пароли! В базе данных должны храниться хеши паролей, и желательно с солью. Вот замечательная статья по теме: Adding Salt to Hashing: A Better Way to Store Passwords. Большая, но зато подробно объясняющая, что к чему.

И почему в таблице колонка называется logo, а в коде вы используете office?

6
  • string sql = "select logo from Users where login = @login and password = @password"; Мне очень помог вот этот запрос. Дальше пару своих строк и заработало. Спасибо 11 фев 2021 в 10:03
  • Спасибо за подсказку. Я не знал что ресурсы заняты всегда. 11 мар 2021 в 6:20
  • про хеш паролей. Мне надо сначала пользовательский пароль хешировать? потом занести хеш в базу? Затем как юзер вводит пароль нужно опять хешировать и сравнить с хешем который сохранен в базе? А когда его нужно расхешировать? 11 мар 2021 в 6:22
  • @ЕвгенийН - вообще, вопрос про хеширование (и соление) паролей вполне можно задать отдельной темой. Только так вы можете получить подробное объяснение (но и минусов можно нахватать). 11 мар 2021 в 10:23
  • @ЕвгенийН - в целом вы понимаете правильно. За одним исключением: когда его расхешировать? - никогда. Это невозможно. В этом и суть хеширования! Даже если базу данных украдут, пароли невозможно будет узнать из неё. 11 мар 2021 в 10:25

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.