数据访问层（DAL）的安全校验实现

在构建基于 C/S 架构的桌面应用程序时，身份验证模块的安全性至关重要。传统的数据访问代码若直接拼接 SQL 字符串，将面临严重的 SQL 注入风险。为了提升系统安全性与资源管理效率，管理员的身份验证逻辑应当采用参数化查询，并利用 using 语句块确保数据库连接和读取器对象被正确释放。

以下代码展示了重构后的管理员仓储类。该方法接收包含登录凭证的实体对象，通过 ADO.NET 向数据库发起安全的查询请求，并根据结果返回填充了完整信息的管理员实体或空值。

namespace DataAccessLayer
{
    public class AdministratorRepository
    {
        /// <summary>
        /// 验证管理员凭据并获取用户信息
        /// </summary>
        public Administrator VerifyCredentials(Administrator admin)
        {
            // 使用参数化查询防止 SQL 注入攻击
            string query = "SELECT AdminName FROM Admins WHERE LoginId = @LoginId AND LoginPwd = @LoginPwd";
            
            SqlParameter[] parameters = 
            {
                new SqlParameter("@LoginId", admin.LoginId),
                new SqlParameter("@LoginPwd", admin.LoginPwd)
            };

            // 确保 SqlDataReader 及其底层连接在使用后被妥善释放
            using (SqlDataReader reader = SqlDbHelper.ExecuteReader(query, parameters))
            {
                if (reader.Read())
                {
                    admin.AdminName = reader["AdminName"].ToString();
                    return admin;
                }
            }
            
            // 若未匹配到记录，则返回 null 表示认证失败
            return null; 
        }
    }
}

表现层（UI）的交互逻辑与会话管理

登录窗体负责收集用户输入、执行基础的格式校验，并调用底层服务进行身份确认。在验证通过后，系统需将当前用户对象保存至全局状态中（例如静态上下文类），以便后续在主窗体中展示登录者姓名并维持权限控制。

以下事件处理程序演示了严谨的输入检查、异常捕获以及登录成功后的状态转移：

private void btnSubmitLogin_Click(object sender, EventArgs e)
{
    string inputId = txtUsername.Text.Trim();
    string inputPwd = txtPassword.Text.Trim();

    // 基础非空校验
    if (string.IsNullOrWhiteSpace(inputId))
    {
        ShowWarning("账号不能为空，请输入。");
        txtUsername.Focus();
        return;
    }
    if (string.IsNullOrWhiteSpace(inputPwd))
    {
        ShowWarning("密码不能为空，请输入。");
        txtPassword.Focus();
        return;
    }

    // 数据类型转换与校验
    if (!int.TryParse(inputId, out int parsedId))
    {
        ShowWarning("账号格式不正确，必须为数字。");
        txtUsername.Focus();
        return;
    }

    var currentAdmin = new Administrator
    {
        LoginId = parsedId,
        LoginPwd = inputPwd
    };

    try
    {
        var repository = new AdministratorRepository();
        var authenticatedAdmin = repository.VerifyCredentials(currentAdmin);

        if (authenticatedAdmin != null)
        {
            // 将凭证写入全局会话管理器，供主界面读取并显示用户名
            SessionContext.CurrentUser = authenticatedAdmin; 
            
            // 通知父窗体登录成功并关闭当前认证窗口
            this.DialogResult = DialogResult.OK;
            this.Close();
        }
        else
        {
            ShowWarning("账号或密码错误，请核对后重试。");
        }
    }
    catch (Exception ex)
    {
        ShowWarning($"数据访问层发生异常，登录失败。详细信息：{ex.Message}");
    }
}

private void ShowWarning(string message)
{
    MessageBox.Show(message, "系统提示", MessageBoxButtons.OK, MessageBoxIcon.Warning);
}

交互体验（UX）优化：键盘事件响应

为了减少用户对鼠标的依赖，提升数据录入效率，可以监听文本框的键盘按下事件。通过拦截 Keys.Enter 键，实现账号输入完毕后焦点自动跳转至密码框，以及在密码框中直接回车触发登录动作。同时，使用 e.SuppressKeyPress 可以有效消除系统默认的按键提示音。

private void txtUsername_KeyDown(object sender, KeyEventArgs e)
{
    if (e.KeyCode == Keys.Enter)
    {
        if (!string.IsNullOrWhiteSpace(txtUsername.Text))
        {
            txtPassword.Focus();
        }
        e.SuppressKeyPress = true; // 屏蔽系统"叮"声
    }
}

private void txtPassword_KeyDown(object sender, KeyEventArgs e)
{
    if (e.KeyCode == Keys.Enter)
    {
        // 直接复用登录按钮的点击逻辑
        btnSubmitLogin_Click(sender, e);
        e.SuppressKeyPress = true;
    }
}