簡(jiǎn)介這是一份基于JSP技術(shù)的大學(xué)生兼職家教網(wǎng)站項(xiàng)目源碼包面向初學(xué)Java Web的開(kāi)發(fā)者或需要完成課程設(shè)計(jì)的學(xué)生定位于展示從零搭建信息發(fā)布、查詢、申請(qǐng)與后臺(tái)管理平臺(tái)的完整流程。壓縮包共包含79個(gè)文件體積僅4.24MB主要由19個(gè)JSP頁(yè)面、22個(gè)class編譯文件、3個(gè)Java源文件、4個(gè)jar庫(kù)、gif/jpg圖像素材以及js/css等前端素材組成可快速導(dǎo)入IDE進(jìn)行二次學(xué)習(xí)與部署。項(xiàng)目完整覆蓋JSP基本語(yǔ)法、Servlet控制器、MVC分層、JDBC數(shù)據(jù)庫(kù)操作、AJAX異步交互及Session會(huì)話保持等關(guān)鍵知識(shí)點(diǎn)并提供登錄注冊(cè)、家教信息管理等常見(jiàn)業(yè)務(wù)模塊有助于理解前后端數(shù)據(jù)流轉(zhuǎn)與數(shù)據(jù)庫(kù)表設(shè)計(jì)。目前已有140人學(xué)習(xí)下載適合用于畢業(yè)設(shè)計(jì)參考或Web開(kāi)發(fā)初級(jí)項(xiàng)目實(shí)戰(zhàn)按包內(nèi)目錄即可梳理頁(yè)面、類與資源文件的對(duì)應(yīng)關(guān)系便于對(duì)照調(diào)試?？傮w而言這份源碼包結(jié)構(gòu)緊湊適合快速上手并深入體會(huì)Java Web項(xiàng)目的完整開(kāi)發(fā)鏈路。1. 從信息登記表到管理后臺(tái)JSP-324 大學(xué)生兼職家教網(wǎng)能解決什么一到寒暑假高校附近的家教需求就成倍增長(zhǎng)。JSP-324 大學(xué)生兼職家教網(wǎng)這類項(xiàng)目最初就是為了解決這種場(chǎng)景出現(xiàn)的某社團(tuán)負(fù)責(zé)人手里的紙質(zhì)登記表沒(méi)幾天就攢成一沓想找初三數(shù)學(xué)一對(duì)一的家長(zhǎng)、能帶小學(xué)英語(yǔ)的大二學(xué)生、談好的課時(shí)費(fèi)和上課地點(diǎn)全擠在同一張表上改一處就亂三處。它把家教信息的發(fā)布、查詢、申請(qǐng)和狀態(tài)管理搬進(jìn)了瀏覽器學(xué)生注冊(cè)后發(fā)布可授課科目家長(zhǎng)發(fā)布需求雙方在系統(tǒng)里完成匹配并一路流轉(zhuǎn)到成交。整個(gè)項(xiàng)目按 JSP Servlet JDBC MySQL 的技術(shù)棧組織服務(wù)端用 JSP 動(dòng)態(tài)輸出頁(yè)面用 Servlet 接收前端請(qǐng)求并把業(yè)務(wù)結(jié)果轉(zhuǎn)發(fā)回視圖數(shù)據(jù)庫(kù)操作走 JDBC 標(biāo)準(zhǔn)接口。涉及的模塊包括用戶注冊(cè)登錄、家教信息發(fā)布與多條件查詢、預(yù)約申請(qǐng)、接單與完成狀態(tài)管理。相比現(xiàn)在流行的前后端分離架構(gòu)這套玩法重一些、渲染在服務(wù)端完成但正因?yàn)檫@樣它把 Java Web 開(kāi)發(fā)最核心的鏈路完整展現(xiàn)了一遍。適合誰(shuí)剛學(xué)完 JSP 和 Servlet 語(yǔ)法、想用完整項(xiàng)目把知識(shí)點(diǎn)串起來(lái)的人在做課程設(shè)計(jì)選題、需要一套能跑通全流程參考代碼的人以及想快速了解 MVC 分層在實(shí)際項(xiàng)目里怎么落地的開(kāi)發(fā)者。下面按從環(huán)境到運(yùn)行、從功能到坑位的順序把它拆開(kāi)講。2. 工程技術(shù)棧與部署環(huán)境MVC 三層分工與本地跑通的前提2.1 為什么是 JSP Servlet JDBC選型邏輯與適用邊界先回答一個(gè)很多人會(huì)問(wèn)的問(wèn)題都什么年代了為什么還要做一個(gè) JSP 項(xiàng)目這個(gè)問(wèn)題的答案藏在項(xiàng)目的業(yè)務(wù)形態(tài)里。大學(xué)生兼職家教網(wǎng)的核心操作是信息流的增刪改查——發(fā)布一條家教信息、瀏覽列表、提交申請(qǐng)、更新接單狀態(tài)。它的頁(yè)面數(shù)量不大、交互不復(fù)雜、并發(fā)量也不高用 JSP 在服務(wù)端直接渲染頁(yè)面反而比前后端分離少一層接口約定部署方式也簡(jiǎn)單打一個(gè) WAR 包丟進(jìn)容器就能跑。從學(xué)習(xí)角度看JSP 項(xiàng)目迫使你在同一套代碼里同時(shí)處理視圖、控制、數(shù)據(jù)三個(gè)層次理解請(qǐng)求在瀏覽器與服務(wù)器之間怎么走。這個(gè)項(xiàng)目的分層方式很典型JSP 頁(yè)面只負(fù)責(zé)展示和收集參數(shù)Servlet 負(fù)責(zé)把請(qǐng)求轉(zhuǎn)給業(yè)務(wù)邏輯并決定跳轉(zhuǎn)到哪個(gè)頁(yè)面DAO 類負(fù)責(zé)數(shù)據(jù)庫(kù)讀寫(xiě)中間的 service 包放業(yè)務(wù)規(guī)則。視圖層拿到的所有數(shù)據(jù)都來(lái)自控制器塞進(jìn) request 或 session 的屬性不直接訪問(wèn)數(shù)據(jù)庫(kù)。適用邊界也要說(shuō)清楚。如果業(yè)務(wù)再?gòu)?fù)雜一點(diǎn)比如加了實(shí)時(shí)聊天、復(fù)雜權(quán)限矩陣JSP 這套就會(huì)因?yàn)轫?yè)面與 Java 代碼耦合而變得難維護(hù)。它的優(yōu)勢(shì)區(qū)間是中小型信息管理類應(yīng)用。將來(lái)做畢業(yè)設(shè)計(jì)或者接小型外包項(xiàng)目這個(gè)技術(shù)組合依然夠用這也是我建議把項(xiàng)目跑通的原因——它的每個(gè)模塊都能遷移到其他管理系統(tǒng)中去。2.2 環(huán)境準(zhǔn)備清單JDK、Tomcat、MySQL 的版本匹配在導(dǎo)入項(xiàng)目之前先把環(huán)境對(duì)齊。這個(gè)項(xiàng)目基于 JSP/Servlet 傳統(tǒng)架構(gòu)對(duì)版本的要求不算苛刻但版本差太多會(huì)出很隱蔽的問(wèn)題。建議按下面這張表準(zhǔn)備組件建議版本說(shuō)明JDK8 或 118 最穩(wěn)11 也能跑注意 IDE 編譯級(jí)別要與之一致Tomcat8.5 / 9.x支持 Servlet 3.1/4.0匹配常見(jiàn) JSP 版本MySQL5.7 或 8.05.7 配 connector 5.1.x8.0 必須換 8.x 驅(qū)動(dòng)IDE任意支持 Java Web 的 IDE導(dǎo)入時(shí)選擇 Dynamic Web Project 結(jié)構(gòu)準(zhǔn)備完成后先在命令行確認(rèn)基礎(chǔ)環(huán)境正常java -version mysql --version看到版本號(hào)輸出后再確認(rèn) Tomcat 的 CATALINA_HOME 環(huán)境變量或者 IDE 里的 Server Runtime 配置。這里有一個(gè)常見(jiàn)坑IDE 里配置的 Tomcat 和命令行啟動(dòng)的 Tomcat 不是同一個(gè)實(shí)例。如果你在 IDE 外手工把項(xiàng)目丟進(jìn) webapps 啟動(dòng)過(guò)一次項(xiàng)目的編譯產(chǎn)物可能殘留在 work 目錄里后面在 IDE 里啟動(dòng)會(huì)加載到過(guò)期內(nèi)容。所以我一般會(huì)讓 IDE 管理一個(gè)獨(dú)立的 Tomcat 運(yùn)行時(shí)避免混用。2.3 數(shù)據(jù)庫(kù)初始化三張核心表與角色設(shè)計(jì)家教平臺(tái)的數(shù)據(jù)量不大但表之間的關(guān)系值得認(rèn)真設(shè)計(jì)。項(xiàng)目里最基本的有三張表用戶表、家教信息表、申請(qǐng)記錄表。用下面的 SQL 初始化數(shù)據(jù)庫(kù)CREATE DATABASE IF NOT EXISTS tutor_db DEFAULT CHARACTER SET utf8mb4; CREATE TABLE sys_user ( user_id INT PRIMARY KEY AUTO_INCREMENT, username VARCHAR(50) NOT NULL UNIQUE, password VARCHAR(100) NOT NULL, real_name VARCHAR(30), phone VARCHAR(20), role TINYINT DEFAULT 0 COMMENT 0-學(xué)生 1-家長(zhǎng), create_time DATETIME DEFAULT CURRENT_TIMESTAMP ); CREATE TABLE job_info ( job_id INT PRIMARY KEY AUTO_INCREMENT, publisher_id INT NOT NULL, title VARCHAR(100) NOT NULL, subject VARCHAR(30) COMMENT 科目, grade VARCHAR(20) COMMENT 年級(jí), teach_type TINYINT DEFAULT 0 COMMENT 0-線上 1-線下, price DECIMAL(6,2) COMMENT 課時(shí)費(fèi), address VARCHAR(200), detail TEXT, status TINYINT DEFAULT 0 COMMENT 0-待接單 1-已接單 2-已完成 3-已關(guān)閉, create_time DATETIME DEFAULT CURRENT_TIMESTAMP ); CREATE TABLE apply_record ( apply_id INT PRIMARY KEY AUTO_INCREMENT, job_id INT NOT NULL, apply_user_id INT NOT NULL, message VARCHAR(200), status TINYINT DEFAULT 0 COMMENT 0-待處理 1-已同意 2-已拒絕, create_time DATETIME DEFAULT CURRENT_TIMESTAMP );注意幾個(gè)設(shè)計(jì)意圖。第一role 用整數(shù)而不是字符串避免數(shù)據(jù)庫(kù)里出現(xiàn)學(xué)生家長(zhǎng)studentparent等多種寫(xiě)法導(dǎo)致查詢條件對(duì)不上。第二status 采用從 0 開(kāi)始的數(shù)字枚舉每個(gè)值在代碼里用常量或注釋明確對(duì)應(yīng)關(guān)系后面做狀態(tài)流轉(zhuǎn)時(shí)只需要比較數(shù)值不用解析字符串。第三字符字段都用 utf8mb4 而不是 utf8否則 emoji 或生僻姓名寫(xiě)入時(shí)會(huì)報(bào) Incorrect string value 錯(cuò)誤。這三張表是項(xiàng)目跑起來(lái)的最小集合實(shí)際項(xiàng)目可能還會(huì)加管理員表但核心鏈路依賴的就是它們。2.4 導(dǎo)入項(xiàng)目后的目錄閱讀順序拿到項(xiàng)目壓縮包后解壓導(dǎo)入 IDE先不要急著點(diǎn)運(yùn)行花十分鐘把目錄結(jié)構(gòu)讀一遍。典型目錄長(zhǎng)這樣src/ ├── com/tutor/controller/ # Servlet 控制器 ├── com/tutor/service/ # 業(yè)務(wù)邏輯層 ├── com/tutor/dao/ # JDBC 數(shù)據(jù)訪問(wèn)層 ├── com/tutor/entity/ # 實(shí)體類對(duì)應(yīng)數(shù)據(jù)表 └── com/tutor/util/ # 工具類DBUtil、MD5Util 等 WebContent/ ├── index.jsp # 入口頁(yè)/首頁(yè) ├── page/ │ ├── login.jsp │ ├── register.jsp │ ├── release.jsp # 發(fā)布家教信息 │ └── list.jsp # 家教信息列表 └── WEB-INF/ ├── web.xml # Servlet 映射與過(guò)濾器注冊(cè) └── lib/ # mysql 驅(qū)動(dòng)等 JAR 包我推薦的閱讀順序是先看 WEB-INF/web.xml它告訴你請(qǐng)求路徑與 Servlet 的對(duì)應(yīng)關(guān)系是整個(gè)應(yīng)用的路由表再看 util/DBUtil.java了解數(shù)據(jù)庫(kù)連接怎么建立和關(guān)閉然后挑一個(gè)完整鏈路看比如從 list.jsp 往下追到對(duì)應(yīng) Servlet 再到 DAO。順著 controller → service → dao 的順序追代碼比從首頁(yè) F5 開(kāi)始點(diǎn)速度快得多原因是視圖層 JSP 語(yǔ)法對(duì)新手干擾大而控制層和數(shù)據(jù)層更接近純 Java邏輯更清楚。提示這個(gè)項(xiàng)目解壓后如果打算用 Git 管理記得把 .settings、build、target 這類 IDE 與編譯產(chǎn)物目錄加進(jìn) .gitignore否則倉(cāng)庫(kù)會(huì)被無(wú)意義文件撐大隊(duì)友拉下來(lái)還容易因?yàn)楸镜嘏渲貌煌a(chǎn)生一堆沖突。3. 家教信息發(fā)布與管理從表單到數(shù)據(jù)庫(kù)的閉環(huán)實(shí)現(xiàn)3.1 發(fā)布表單JSP 頁(yè)面的字段設(shè)計(jì)與參數(shù)對(duì)應(yīng)關(guān)系家教信息發(fā)布頁(yè)面是項(xiàng)目的核心入口。它的職責(zé)只有一個(gè)把用戶在瀏覽器里填寫(xiě)的表單數(shù)據(jù)收集起來(lái)交給后端 Servlet 處理。先看頁(yè)面片段form action${pageContext.request.contextPath}/job methodpost input typehidden nameaction valuerelease/ label標(biāo)題/label input typetext nametitle required maxlength100/ label科目/label select namesubject option value數(shù)學(xué)數(shù)學(xué)/option option value英語(yǔ)英語(yǔ)/option option value物理物理/option /select label年級(jí)/label input typetext namegrade placeholder如初三/ label課時(shí)費(fèi)元/小時(shí)/label input typenumber nameprice min0 step0.01/ label授課方式/label input typeradio nameteachType value0 checked/線上 input typeradio nameteachType value1/線下 label詳細(xì)描述/label textarea namedetail rows5/textarea button typesubmit發(fā)布/button /form表單里每個(gè)控件的 name 屬性就是后端 Servlet 用 getParameter 取參數(shù)時(shí)的鍵名前后端必須嚴(yán)格一致這是最常見(jiàn)也最難排查的 bug 來(lái)源之一。action 用 ${pageContext.request.contextPath}/job 而不是寫(xiě)死路徑是因?yàn)轫?xiàng)目部署時(shí)上下文路徑可能變化寫(xiě)死會(huì)導(dǎo)致 404。隱藏字段 actionrelease 是讓同一個(gè) Servlet 處理多種操作時(shí)的分發(fā)標(biāo)記——發(fā)布、修改、刪除都走 /job 這個(gè) URL靠 action 區(qū)分。3.2 實(shí)體類與 DAO 層PreparedStatement 的參數(shù)化寫(xiě)法后端的第一個(gè)落點(diǎn)是實(shí)體類和 DAO。實(shí)體類 JobInfo 的字段與 job_info 表一一對(duì)應(yīng)這里不再貼全部 getter/setter重點(diǎn)看 DAO 的插入方法public int insert(JobInfo job) throws SQLException { String sql INSERT INTO job_info (publisher_id, title, subject, grade, teach_type, price, detail) VALUES (?, ?, ?, ?, ?, ?, ?); try (Connection conn DBUtil.getConnection(); PreparedStatement ps conn.prepareStatement(sql)) { ps.setInt(1, job.getPublisherId()); ps.setString(2, job.getTitle()); ps.setString(3, job.getSubject()); ps.setString(4, job.getGrade()); ps.setInt(5, job.getTeachType()); ps.setBigDecimal(6, job.getPrice()); ps.setString(7, job.getDetail()); return ps.executeUpdate(); } }這里用 PreparedStatement 而不是 Statement是 JDBC 編程里一條不能破的規(guī)矩。第一參數(shù)通過(guò) ? 占位符傳遞數(shù)據(jù)庫(kù)驅(qū)動(dòng)會(huì)把它們當(dāng)作純數(shù)據(jù)而不是 SQL 片段從源頭堵住 SQL 注入第二PreparedStatement 有預(yù)編譯緩存同一條 SQL 執(zhí)行多次時(shí)性能更好。代碼里的 try-with-resources 是 Java 7 引入的寫(xiě)法Connection、PreparedStatement 實(shí)現(xiàn)了 AutoCloseable會(huì)在 try 塊結(jié)束后自動(dòng)關(guān)閉不必再手寫(xiě) finally 里的一堆 close()。參數(shù)類型需要注意price 在 MySQL 里是 DECIMAL(6,2)在 Java 側(cè)對(duì)應(yīng) BigDecimal用 setBigDecimal 傳入而不是 setDouble否則小數(shù)精度可能出問(wèn)題teach_type 是 TINYINT對(duì)應(yīng) setInt。如果某個(gè) DAO 方法里看到 setString 傳整數(shù)那多半會(huì)觸發(fā)隱式轉(zhuǎn)換MySQL 能接收但存在隱患。3.3 Servlet 控制器接收參數(shù)、設(shè)置編碼、決定跳轉(zhuǎn)Servlet 是 MVC 里的 C 層負(fù)責(zé)把請(qǐng)求參數(shù)整理成實(shí)體類調(diào)用 service/DAO最后決定返回哪個(gè)視圖。看核心處理邏輯protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { request.setCharacterEncoding(UTF-8); String action request.getParameter(action); if (release.equals(action)) { JobInfo job new JobInfo(); job.setPublisherId((Integer) request.getSession() .getAttribute(userId)); job.setTitle(request.getParameter(title)); job.setSubject(request.getParameter(subject)); job.setGrade(request.getParameter(grade)); job.setTeachType(Integer.parseInt(request.getParameter(teachType))); job.setPrice(new BigDecimal(request.getParameter(price))); boolean ok jobService.addJob(job); if (ok) { response.sendRedirect(request.getContextPath() /job?actionlist); } else { request.setAttribute(error, 發(fā)布失敗); request.getRequestDispatcher(/page/release.jsp) .forward(request, response); } } }第一行 setCharacterEncoding(UTF-8) 必須放在讀取任何參數(shù)之前因?yàn)?POST 請(qǐng)求體的解碼在第一次 getParameter 時(shí)已完成之后再設(shè)置就無(wú)效了。userId 從 session 取而不是信任前端傳值這是防止越權(quán)的關(guān)鍵設(shè)計(jì)——發(fā)布者身份必須由服務(wù)端會(huì)話決定。成功后用 sendRedirect 走一次新的 GET 請(qǐng)求到列表頁(yè)符合POST 后重定向的習(xí)慣避免刷新頁(yè)面時(shí)重復(fù)提交失敗則用 forward 回到發(fā)布頁(yè)并攜帶 error 信息此時(shí)瀏覽器地址欄不變用戶可以馬上修改重試。注意sendRedirect 會(huì)丟 request 里的屬性所以錯(cuò)誤提示必須換成 session 或者在重定向 URL 后面帶參數(shù)而 forward 保留 request 作用域適合表單校驗(yàn)失敗回顯的場(chǎng)景。兩者別混用。3.4 列表查詢與分頁(yè)條件組合和 LIMIT 偏移量家教信息列表需要支持按科目、年級(jí)和授課方式篩選同時(shí)做分頁(yè)。查詢 SQL 是動(dòng)態(tài)拼裝的但拼的是條件骨架值仍然用占位符StringBuilder sql new StringBuilder( SELECT * FROM job_info WHERE status 0 ); if (subject ! null !subject.isEmpty()) { sql.append(AND subject ? ); } if (grade ! null !grade.isEmpty()) { sql.append(AND grade LIKE ? ); } sql.append(ORDER BY create_time DESC LIMIT ?, ?);對(duì)應(yīng)參數(shù)設(shè)置要注意順序先設(shè)置前面條件里的 subject、grade最后再設(shè)置 LIMIT 的兩個(gè)參數(shù)。LIMIT 第一個(gè)參數(shù)是偏移量 offset第二個(gè)是每頁(yè)條數(shù) pageSize計(jì)算公式是 offset (pageNum - 1) * pageSize。比如每頁(yè) 10 條第三頁(yè)的 offset 就是 20。很多人在這個(gè)計(jì)算上翻車把 pageNum 直接當(dāng) offset 傳進(jìn)去結(jié)果第二頁(yè)開(kāi)始數(shù)據(jù)錯(cuò)位。分頁(yè)還要向前端返回總頁(yè)數(shù)一般先 COUNT(*) 查總記錄數(shù)再除以 pageSize 向上取整。這個(gè) COUNT 查詢和列表查詢條件必須完全一致否則會(huì)出現(xiàn)列表顯示 3 頁(yè)但分頁(yè)條只有 2 頁(yè)的尷尬。我一般會(huì)把條件拼裝抽成一個(gè)公共方法兩個(gè)查詢共用從根上避免條件不一致。4. 登錄認(rèn)證與申請(qǐng)流程Session 管理與狀態(tài)機(jī)的實(shí)現(xiàn)4.1 登錄成功后的會(huì)話設(shè)計(jì)服務(wù)端存什么、過(guò)期時(shí)間設(shè)多少登錄是整個(gè)應(yīng)用的身份基礎(chǔ)。用戶提交用戶名和密碼后Servlet 用用戶名查庫(kù)、比對(duì)密碼成功后把用戶標(biāo)識(shí)存進(jìn) Session而不是把整個(gè)用戶對(duì)象隨便亂放。推薦的做法是只存 userId、realName、role 三個(gè)字段夠用且減少 session 體積。代碼示意public User login(String username, String password) { // 先按用戶名查用戶再比對(duì)密碼 User user userDao.findByUsername(username); if (user ! null user.getPassword().equals(MD5Util.md5(password))) { return user; } return null; }登錄成功后控制器里這樣存會(huì)話HttpSession session request.getSession(); session.setAttribute(userId, user.getUserId()); session.setAttribute(realName, user.getRealName()); session.setAttribute(role, user.getRole()); session.setMaxInactiveInterval(30 * 60);setMaxInactiveInterval(30 * 60) 把會(huì)話閑置超時(shí)設(shè)為 30 分鐘單位是秒超過(guò)這個(gè)時(shí)間用戶再操作就要重新登錄。這個(gè)值需要根據(jù)使用場(chǎng)景調(diào)整——家教平臺(tái)的用戶不會(huì)一直盯著頁(yè)面20~30 分鐘是合理區(qū)間設(shè)太短會(huì)被頻繁踢下線設(shè)太長(zhǎng)又有會(huì)話被劫持的風(fēng)險(xiǎn)。這里還要理解 Session 和 Cookie 的關(guān)系Session 數(shù)據(jù)在服務(wù)端瀏覽器端只保存一個(gè) JSESSIONID 的 CookieCookie 失效或清除后服務(wù)端就找不到對(duì)應(yīng)的用戶數(shù)據(jù)。所以 Session 里存狀態(tài)Cookie 只是拿鑰匙鑰匙丟了狀態(tài)就找不回來(lái)。4.2 登錄過(guò)濾器統(tǒng)一攔截未登錄請(qǐng)求與靜態(tài)資源放行頁(yè)面一多如果每個(gè) Servlet 都手動(dòng)判斷 session 是否有效代碼會(huì)非常啰嗦而且容易漏。項(xiàng)目里正確的做法是寫(xiě)一個(gè) Filter在 web.xml 里注冊(cè)為 /*對(duì)所有請(qǐng)求先做身份檢查。核心邏輯public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) throws IOException, ServletException { HttpServletRequest request (HttpServletRequest) req; HttpServletResponse response (HttpServletResponse) resp; HttpSession session request.getSession(false); String uri request.getRequestURI(); if (uri.endsWith(.css) || uri.endsWith(.js) || uri.endsWith(.png) || uri.contains(/page/login.jsp)) { chain.doFilter(req, resp); return; } if (session ! null session.getAttribute(userId) ! null) { chain.doFilter(req, resp); } else { response.sendRedirect(request.getContextPath() /page/login.jsp); } }注意兩點(diǎn)。第一request.getSession(false) 傳 false 表示不新建 Session——如果用戶本來(lái)沒(méi)有會(huì)話這里會(huì)返回 null而不是自動(dòng)創(chuàng)建一個(gè)空的避免每個(gè)未登錄請(qǐng)求都白白產(chǎn)生 Session 對(duì)象。第二靜態(tài)資源和登錄頁(yè)本身必須放行否則會(huì)出現(xiàn)登錄頁(yè)加載不出 CSS、jQuery 全被攔的問(wèn)題。放行規(guī)則用 URI 后綴判斷比較直觀也可以用前綴匹配如 /static/、/assets/。如果項(xiàng)目里用了驗(yàn)證碼圖片同樣要放進(jìn)放行清單。4.3 申請(qǐng)接單的狀態(tài)流轉(zhuǎn)四個(gè)狀態(tài)的權(quán)限邊界家教信息發(fā)布之后核心業(yè)務(wù)就是申請(qǐng)與接單。一個(gè)家教訂單在系統(tǒng)里經(jīng)歷的狀態(tài)序列如下?tīng)顟B(tài)值狀態(tài)名觸發(fā)動(dòng)作誰(shuí)可以操作0待接單發(fā)布成功學(xué)生申請(qǐng)1已接單家長(zhǎng)同意申請(qǐng)家長(zhǎng)2已完成雙方確認(rèn)學(xué)生/家長(zhǎng)3已關(guān)閉發(fā)布者撤銷發(fā)布者狀態(tài)機(jī)的實(shí)現(xiàn)并不復(fù)雜關(guān)鍵在于每個(gè)狀態(tài)變更操作開(kāi)始時(shí)都要校驗(yàn)當(dāng)前狀態(tài)和操作者身份。以家長(zhǎng)同意申請(qǐng)為例Servlet 里需要先查出 job 的 publisher_id跟 session 里的 userId 比較不一致直接拒絕再檢查 job.status 必須是 0否則提示該家教信息已接單。這兩步校驗(yàn)缺一不可只校驗(yàn)狀態(tài)不校驗(yàn)身份就會(huì)出現(xiàn) A 用戶能操作 B 用戶信息的越權(quán)漏洞。對(duì)應(yīng)的一條更新 SQL 涉及兩張表UPDATE apply_record SET status 1 WHERE apply_id ? AND status 0; UPDATE job_info SET status 1 WHERE job_id ? AND status 0;這兩條 UPDATE 都帶有 status 0 的條件既是狀態(tài)校驗(yàn)也起到樂(lè)觀鎖的作用如果記錄已經(jīng)被別人改過(guò)執(zhí)行影響行數(shù)為 0程序就能感知到并發(fā)沖突并提示用戶而不是盲目覆蓋。4.4 密碼存儲(chǔ)MD5 加鹽與防拖庫(kù)思路用戶表里的 password 字段不能存明文這是 Java Web 項(xiàng)目的底線。項(xiàng)目里一般會(huì)用 MD5 做摘要但裸 MD5 對(duì)彩虹表幾乎沒(méi)抵抗力所以必須加鹽。思路是生成一個(gè)隨機(jī)鹽值拼到密碼后面再算摘要鹽值隨用戶記錄一起存儲(chǔ)。實(shí)現(xiàn)通常收斂在一個(gè)工具類里public static String md5WithSalt(String rawPassword, String salt) { String input rawPassword salt; return md5(input); }注冊(cè)時(shí)生成鹽值String salt UUID.randomUUID().toString().substring(0, 8); 登錄時(shí)從庫(kù)里取出該用戶的鹽值重新拼接計(jì)算再比對(duì)。這樣即使數(shù)據(jù)庫(kù)泄露攻擊者拿到的也是加鹽摘要想反推原文需要為每個(gè)用戶單獨(dú)跑字典成本高很多。MD5 在這個(gè)項(xiàng)目階段夠用如果做生產(chǎn)系統(tǒng)建議直接換 BCrypt算法自帶隨機(jī)鹽而且計(jì)算慢更抗暴力破解。5. 部署與運(yùn)行避坑最常見(jiàn)五個(gè)異常及排查路徑這個(gè)項(xiàng)目從導(dǎo)入到跑通最容易踩的坑集中在五組問(wèn)題里。每條按現(xiàn)象、原因、解決三個(gè)步驟寫(xiě)照著排查能省下大量時(shí)間。5.1 Tomcat 啟動(dòng)失敗8080 端口被占用現(xiàn)象啟動(dòng) Tomcat 時(shí)控制臺(tái)報(bào) Port 8080 required by Tomcat v9.0 Server at localhost is already in use服務(wù)起不來(lái)或者起來(lái)后訪問(wèn)不到頁(yè)面。原因本機(jī)有其他程序占用了 8080。最常見(jiàn)的是之前手工啟動(dòng)的 Tomcat 實(shí)例沒(méi)關(guān)干凈或者其他開(kāi)發(fā)工具的調(diào)試端口恰好落在 8080。解決先查占用進(jìn)程Windows 用 netstat -ano | findstr 8080看到 PID 后在任務(wù)管理器里結(jié)束對(duì)應(yīng)進(jìn)程或者直接改端口在 conf/server.xml 里把 Connector 的 port 改成 8081同時(shí)注意項(xiàng)目里所有 contextPath 相關(guān)路徑不受影響因?yàn)楦牡氖欠?wù)器監(jiān)聽(tīng)端口而不是上下文路徑。改完端口別忘了 IDE 里的 server 配置也要同步更新。5.2 啟動(dòng)即 ClassNotFoundExceptionMySQL 驅(qū)動(dòng)缺失或版本不匹配現(xiàn)象訪問(wèn)任意需要操作數(shù)據(jù)庫(kù)的頁(yè)面拋 java.lang.ClassNotFoundException: com.mysql.jdbc.Driver或者啟動(dòng)時(shí)就報(bào)驅(qū)動(dòng)類加載失敗。原因mysql-connector-java 的 JAR 沒(méi)有放進(jìn) WEB-INF/lib。很多人把驅(qū)動(dòng) JAR 加到了 IDE 的 Classpath 里但部署時(shí) IDE 沒(méi)有把它打包進(jìn) WEB-INF/libTomcat 運(yùn)行時(shí)自然找不到。驅(qū)動(dòng)版本不匹配導(dǎo)致的啟動(dòng)翻車十次里有八次是這類原因。解決把 mysql-connector-java-x.x.x.jar 直接復(fù)制到 WebContent/WEB-INF/lib 目錄下然后右鍵項(xiàng)目刷新確認(rèn)構(gòu)建路徑里能看到它。另外注意驅(qū)動(dòng)類名變了MySQL 8.x 驅(qū)動(dòng)是 com.mysql.cj.jdbc.Driver老代碼里寫(xiě) com.mysql.jdbc.Driver 會(huì)報(bào)錯(cuò)需要同步改掉。5.3 數(shù)據(jù)庫(kù)中文亂碼連接 URL 和頁(yè)面編碼不一致現(xiàn)象從數(shù)據(jù)庫(kù)查出來(lái)的中文顯示為問(wèn)號(hào)或者往庫(kù)里寫(xiě)中文后讀出來(lái)是亂碼。原因問(wèn)題往往不是單點(diǎn)而是鏈路里多個(gè)環(huán)節(jié)的編碼不一致。常見(jiàn)組合是連接 URL 少了 characterEncoding 參數(shù)而數(shù)據(jù)庫(kù)、表、JSP 頁(yè)面各自用了不同編碼。解決在 JDBC URL 上顯式聲明編碼URL 形如 jdbc:mysql://localhost:3306/tutor_db?useUnicodetruecharacterEncodingUTF-8serverTimezoneAsia/Shanghai。同時(shí)把建庫(kù)語(yǔ)句的 DEFAULT CHARACTER SET utf8mb4 手動(dòng)執(zhí)行一次確認(rèn)表也是 utf8mb4。JSP 頁(yè)面頂部加上 % page contentTypetext/html;charsetUTF-8 pageEncodingUTF-8 %三處對(duì)齊后亂碼基本絕跡。注意MySQL 8.x 不加 serverTimezone 會(huì)直接報(bào)時(shí)區(qū)錯(cuò)誤這個(gè)參數(shù)不是可選項(xiàng)連接 URL 里必須帶上。5.4 修改 JSP 后頁(yè)面不更新Tomcat 工作目錄緩存舊編譯結(jié)果現(xiàn)象改了 JSP 里的標(biāo)題或樣式刷新瀏覽器還是舊頁(yè)面清瀏覽器緩存也沒(méi)用。原因JSP 第一次被訪問(wèn)時(shí) Tomcat 會(huì)把它編譯成 Servlet class 存到 work 目錄之后每次請(qǐng)求默認(rèn)先檢查 JSP 文件是否有改動(dòng)。但在 IDE 的增量部署場(chǎng)景下有時(shí)候文件時(shí)間戳沒(méi)有變化或者修改發(fā)生在 IDE 外部Tomcat 沒(méi)感知到更新一直用緩存里的舊 class。解決先停掉 Tomcat找到 Tomcat 安裝目錄下的 work/Catalina 目錄或者 IDE 里配置的 catalina.base 對(duì)應(yīng) work 目錄整體刪除再重新啟動(dòng)也可以在 IDE 的 Server 面板里右鍵 Clean。從那以后我只要改了 JSP 或 web.xml都會(huì)順手 Clean 一次再啟動(dòng)二十秒的事但能省掉改了沒(méi)反應(yīng)的半小時(shí)排查。5.5 登錄頁(yè)樣式全丟過(guò)濾器把 CSS/JS 誤傷現(xiàn)象進(jìn)入 login.jsp 頁(yè)面HTML 結(jié)構(gòu)正常但所有樣式和腳本都沒(méi)生效F12 看到 .css 請(qǐng)求返回 302 跳轉(zhuǎn)到了登錄頁(yè)。原因過(guò)濾器注冊(cè)為 /* 對(duì)所有請(qǐng)求做登錄校驗(yàn)靜態(tài)資源路徑也被攔截未登錄狀態(tài)下 CSS/JS 請(qǐng)求被重定向走頁(yè)面自然裸奔。解決在過(guò)濾器里放行靜態(tài)資源前面 4.2 的代碼已經(jīng)寫(xiě)了按后綴放行的方式更規(guī)范的做法是把靜態(tài)資源統(tǒng)一放在 /static、/assets 目錄下過(guò)濾器按路徑前綴放行。還要注意一個(gè)隱藏點(diǎn)放行條件里如果用了 contains(/page/login.jsp)那么登錄頁(yè)里的 CSS 是放行了但 CSS 本身請(qǐng)求的 URL 是 /css/style.css必須同時(shí)有后綴判斷否則依然拿不到。6. 上線前的最后兩步SQL 審計(jì)與操作日志6.1 全面檢查 SQL 拼裝點(diǎn)在項(xiàng)目收尾演示之前我會(huì)全局搜索所有 DAO 類里是否還有 Statement 或字符串拼接 SQL 的地方。搜索特征是 String sql SELECT ... 變量只要出現(xiàn)一律改成 PreparedStatement 的參數(shù)化寫(xiě)法。判斷標(biāo)準(zhǔn)很簡(jiǎn)單任何來(lái)自 request.getParameter 的值都不允許直接拼進(jìn) SQL。用 IDE 的全局搜索把范圍限定在 dao 包和 service 包逐條過(guò)一遍這個(gè)動(dòng)作花不了十分鐘但能堵住最危險(xiǎn)的注入口。6.2 給關(guān)鍵操作補(bǔ)一行日志發(fā)布信息、申請(qǐng)接單、修改狀態(tài)這三類操作是業(yè)務(wù)里最容易出糾紛的地方。我會(huì)在 Servlet 處理完成后加一行日志輸出記錄操作人、操作對(duì)象和結(jié)果。用最樸素的 java.util.logging 或者 Log4j 都行關(guān)鍵是日志里要有 userId、jobId 和操作類型格式類似 release|user12|job78|success。這樣演示或者測(cè)試時(shí)一旦出問(wèn)題可以直接從日志里還原操作鏈路不需要再去數(shù)據(jù)庫(kù)里猜是誰(shuí)改的數(shù)據(jù)。最后說(shuō)一個(gè)自己的習(xí)慣每次部署前我都會(huì)拿兩個(gè)瀏覽器賬號(hào)把完整流程走一遍——學(xué)生賬號(hào)注冊(cè)、發(fā)布家教信息、退出家長(zhǎng)賬號(hào)登錄、搜索到目標(biāo)信息、提交申請(qǐng)切回學(xué)生賬號(hào)同意申請(qǐng)狀態(tài)從待接單變成已接單。這個(gè)流程能跑通項(xiàng)目就達(dá)到了可驗(yàn)收的狀態(tài)。JSESSIONID 跨瀏覽器互不影響這點(diǎn)正好是 Session 機(jī)制可靠性的實(shí)際驗(yàn)證。希望這組拆解能幫你在導(dǎo)入這個(gè)項(xiàng)目時(shí)少走幾步彎路順利把它跑起來(lái)。本文還有配套的精品資源點(diǎn)擊獲取