public static int ValidarUsuarios(Constructor_Login add)
{
int Admin = 3;
int Gerente = 1;
int Empleado = 2;
int retorno = 0;
int nevel = 0;
MySqlCommand actusuario = new MySqlCommand(string.Format("SELECT * FROM usuarios WHERE tipoUsuarios_idtipoUsuarios='" + Admin + "' AND usuario='" + Constructor_Login.usuario + "'"), conexion.obtenerconexion());
nevel = Convert.ToInt32(actusuario.ExecuteScalar());
if ( nevel != 3)
{
Constructor_Login.nivel = "Administrador";
MessageBox.Show("Adminnistrador"+Constructor_Login.nivel);
}
else
{
actusuario = new MySqlCommand(string.Format("SELECT * FROM usuarios WHERE tipoUsuarios_idtipoUsuarios='" + Empleado + "' AND usuario='" + Constructor_Login.usuario + "'"), conexion.obtenerconexion());
nevel = Convert.ToInt32( actusuario.ExecuteScalar());
if (Empleado != 2)
{
Constructor_Login.nivel = "Empleado";
MessageBox.Show("Empleado" + Constructor_Login.nivel);
}
else
{
actusuario = new MySqlCommand(string.Format("SELECT * FROM usuarios WHERE tipoUsuarios_idtipoUsuarios='" + Constructor_Login.nivel + "' AND usuario='" + Gerente + "'"), conexion.obtenerconexion());
nevel = Convert.ToInt32(actusuario.ExecuteScalar());
if (Gerente != 1)
{
Constructor_Login.nivel = "Geremte";
MessageBox.Show("Gerente"+Constructor_Login.nivel);
}
else
{
MessageBox.Show("no se encontro el nivel de usuario", "Error de Sesión", MessageBoxButtons.OK, MessageBoxIcon.Error);
}
return retorno;
}
return retorno;
}
return retorno;
}
1 respuesta
Detecto dos cosas:
debes usar siempre parametros, no se concatena usando el
string.Format()
, como estostring query = "SELECT COUNT(*) FROM usuarios WHERE tipoUsuarios_idtipoUsuarios= ?tipo AND usuario= ?usuario"; MySqlCommand actusuario = new MySqlCommand(query, conexion.obtenerconexion()); actusuario.Parameters.AddWithValue("?tipo", Admin); actusuario.Parameters.AddWithValue("?usuario", Constructor_Login.usuario); nevel = Convert.ToInt32(actusuario.ExecuteScalar());
usando el AddWithValues()
del Parameters
para asignar los datos
- si usas el
ExecuteScalar()
convirtiendo a numerico tienes que retornar un valor numerico, por eso en el ejemplo lo cambie porCOUNT(*)
-
porque votan negativo, no consideran que usar parametro sea una buena practica de desarrollo? que deba recomendarse siempre, al votar negativo estan desaprobandolo, sino resuelve la pregunta al menos dejenlo sin votar nada, una explicacion como esta no se puede realizar como comentario el 19 sep. 2018 a las 15:08
string
que va a ser usado para una query. Siempre usaMySQLCommand.Parameters...
SaludosidtipoUsuarios
es un entero, tu consulta es erronea ya que estas pasandole el tipo como unstring
. Trata de quitarle las comillas simples a la query