简介一份基于Java的会展服务平台设计与实现的毕业设计文档面向计算机相关专业学生及需要快速搭建管理类Web平台的开发者。内容完整覆盖需求分析、设计目标、B/S架构方案、Java动态页面设计、Mysql数据库存储及管理端/用户端功能模块划分适合作为课程设计、毕业设计或项目立项参考。资源为单个docx文档共1个文件约1.79MB包含从摘要、目录、正文到测试与结论的完整论文结构可直接查阅和复用。目前已有119人学习文档中对管理员个人中心、首页轮播图、社团审核、论坛管理及用户帖子管理等模块均有说明重点展示了如何以JavaMysql实现会展服务平台的交互性与实时性。借助这份资料可快速理解管理类信息平台的经典分层实现思路节省前期调研与框架设计时间也能为论文撰写和答辩准备提供较好的结构示范。1. 为什么毕设里的“会展服务平台”不等于一个门户网站初次接触这份《基于Java会展服务平台设计与实现》文档很容易被首页轮播、公告这些词带走以为做一个展示页面就行。真正把需求过一遍才会发现平台核心是两条完全不同的权限链管理员管社团审核、用户管理、留言回复用户只对自己发起的帖子和社团有操作权。这两条链不通过数据表和请求路径拆清楚项目做一半就会变成“页面很多没有一个能验收”。把文档整理成可复现项目时底层就是一个典型的 B/S 三层 Java Web 结构技术栈用 Java MySQL核心难点不在页面而在角色划分、会话管理和状态流转。对准备面试的开发者拆开看一遍能把 Java 基础、权限过滤、数据库表设计这些常考点串起来对要交付毕设或练手项目的工程师后面几章给了可以直接拷走的建表 SQL、登录 Filter 和接口写法。2. 从需求到模块会展服务平台的用例拆分与数据表设计2.1 先把“管理员”和“用户”拆成两条业务线拿到文档第一件事不是拖页面而是把角色厘清。这份会展服务平台的使用者只有管理员和普通用户但两边能触达的数据完全不同管理员关心首页轮播图、用户、社团审核、论坛和留言用户关心发帖、建立或加入社团、维护个人中心。如果只靠一个role字段区分后续每个接口都要反复判断“当前登录者是谁、能不能动这条数据”。毕设里能从演示阶段走到验收靠的就是把这条权限线在表结构阶段拆干净。从用例图展开看管理员和用户并没有共享同一套完整业务流。社团审核是典型例子用户只能提交管理员只能审批论坛帖子用户能发能改自己的管理员却可以下架。把这些操作映射到数据表后真正要做的不只是“管理功能”而是“不同角色对同一张表的有限操作”。这个结论直接决定后端 DAO 和 Service 的拆分方式。2.2 核心表设计不要只做一张 user 表数据库设计影响后端代码结构。很多初学版本把轮播图、帖子和留言塞进一张很大的宽表后期加字段非常痛苦。我一般会拆成 5 张常用表模块涉及表关键字段登录与权限userusername, password, role, status首页轮播图carouselimage_url, link_url, sort_order, status社团管理clubname, owner_id, audit_status, description论坛管理forum_postuser_id, title, content, status, create_time建议留言suggestionuser_id, content, reply, create_time这张表足够覆盖文档列出的管理员和用户模块。role不要设成varchar存“管理员/用户”用TINYINT更省空间也方便比较。password字段至少要留varchar(255)因为现代加密串远比 32 位长。sort_order用来控制轮播图顺序比时间戳排序更直观。下面给出一段基础 SQL保留外键关联但没滥用CREATE TABLE user ( id INT NOT NULL AUTO_INCREMENT, username VARCHAR(50) NOT NULL, password VARCHAR(255) NOT NULL, role TINYINT NOT NULL DEFAULT 0 COMMENT 0-普通用户1-管理员, status TINYINT NOT NULL DEFAULT 1 COMMENT 1-启用0-禁用, create_time DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (id), UNIQUE KEY uk_username (username) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4; CREATE TABLE club ( id INT NOT NULL AUTO_INCREMENT, name VARCHAR(100) NOT NULL, owner_id INT NOT NULL, description TEXT, audit_status TINYINT NOT NULL DEFAULT 0 COMMENT 0-待审核1-通过2-驳回, create_time DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (id), KEY idx_owner_id (owner_id), CONSTRAINT fk_club_owner FOREIGN KEY (owner_id) REFERENCES user (id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;代码里的COMMENT会被 MySQL 保留成字段说明很多人忽略这一点。后期接数据的人直接查information_schema.COLUMNS就能还原业务含义不用再翻设计文档。owner_id指向user.id同时加上索引。外键在毕设项目里可以保留但在并发写入高的生产环境外键会拖慢 UPDATE。这里的平台是 B/S 结构量级不大保留外键能防止 owner 被删后出现悬空社团。2.3 页面流转需要的数据读取路径有了表结构再去看页面流转。登录后JSP 或 Servlet 会按角色把用户带向不同首页。管理员看到的/admin/home需要查轮播图列表和待审核社团数用户看到的/user/home只查自己的帖子、社团。不要在同一个 Servlet 里用一堆if写两个首页逻辑而是拆成AdminHomeServlet和UserHomeServlet两个入口各自调用对应 DAO。这样做的原因是把数据库负载分散到查询本身而不是在 Java 内存里过滤完整表。类似“判断 role 后加载不同菜单”的逻辑也会让后续新增模块时改动集中在配置里而不是散落到各页面。社团列表、论坛列表都按这个思路设计接口和页面一一对应调试时看 URL 就能定位问题。3. 三层结构下的会话管理登录权限与用户/管理员双角色实现3.1 登录请求的路径从浏览器到 ServletB/S 结构下用户在浏览器输入用户名密码请求先到 Servlet 容器。登录页提交到/login后端做三层处理接收参数、查库校验、写会话。这里要注意GET和POST的区别登录接口必须用POST否则密码会出现在 URL 历史记录里。这个细节也是 java 基础面试题里常被问到的“表单提交安全性”。以一个极简的LoginServlet为例WebServlet(/login) public class LoginServlet extends HttpServlet { private final UserDao userDao new UserDao(); Override protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException { req.setCharacterEncoding(UTF-8); String username trimToNull(req.getParameter(username)); String password req.getParameter(password); if (username null || password null || password.isEmpty()) { req.setAttribute(msg, 用户名和密码不能为空); req.getRequestDispatcher(/login.jsp).forward(req, resp); return; } User user userDao.findByUsername(username); if (user null || !PasswordUtil.matches(password, user.getPassword())) { req.setAttribute(msg, 用户名或密码错误); req.getRequestDispatcher(/login.jsp).forward(req, resp); return; } if (user.getStatus() ! 1) { req.setAttribute(msg, 账号已被禁用); req.getRequestDispatcher(/login.jsp).forward(req, resp); return; } HttpSession session req.getSession(); session.setAttribute(loginUser, user); session.setMaxInactiveInterval(60 * 30); // 30 分钟会话超时 if (Integer.valueOf(1).equals(user.getRole())) { resp.sendRedirect(req.getContextPath() /admin/home); } else { resp.sendRedirect(req.getContextPath() /user/home); } } }trimToNull是业务工具方法避免用户输入纯空格。findByUsername只按用户名取一条记录不在 Java 里拼 SQL也不直接拿用户提交的密码去查WHERE password ?这样才能在后期无痛替换加密算法。PasswordUtil.matches封装 BCrypt 校验而不是简单地user.getPassword().equals(password)。req.getRequestDispatcher(...).forward和resp.sendRedirect的区别在于forward不改变浏览器地址栏适合处理失败后回显sendRedirect会让浏览器重新请求目标地址适合登录成功后跳转。如果把失败提示也用sendRedirectrequest里的msg会丢失用户看不到错误原因。3.2 用 Filter 统一做权限校验而不是在每个页面里重复判断双角色项目最容易出现的 bug是管理员页面跳转后普通用户手动输入 URL 也能打开。给/admin/*和/user/*分别加 Filter 是最直接的方案。下面是一个管理端 Filter 片段WebFilter(/admin/*) public class AdminAuthFilter implements Filter { Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { HttpServletRequest req (HttpServletRequest) request; HttpSession session req.getSession(false); User loginUser session null ? null : (User) session.getAttribute(loginUser); if (loginUser null || !Integer.valueOf(1).equals(loginUser.getRole())) { ((HttpServletResponse) response).sendRedirect(req.getContextPath() /login.jsp); return; } chain.doFilter(request, response); } }req.getSession(false)是关键。如果改成getSession()没有登录的用户也会被创建一个新 Session然后再重定向白白浪费服务器资源。role判断用Integer.valueOf(1).equals(...)可以避免“字符串 1”和“整数 1”类型混淆。很多项目在这里直接写loginUser.getRole() 1当role是Integer类型时可能触发拆箱空指针。权限路径规划可以统一成一张表接口设计也按约定走URL 前缀允许角色说明/admin/**管理员轮播图、用户、社团审核、留言管理/user/**普通用户帖子、社团、个人中心/public/**游客和管理员登录页、首页轮播展示/login, /logout全部认证入口这张表的作用是让前端和后端都按 URL 前缀约定去写而不是根据按钮显示隐藏来控制权限。按钮不能只靠前端隐藏来防别人访问接口仍可以被直接调用。真正的控制要落在 Filter 和 Service 层的数据归属判断上。3.3 会话过期后的页面跳转陷阱Session 超时后Ajax 请求会拿到登录页 HTML 而不是 JSON。如果平台里有发帖、留言这类异步请求前端统一在fetch的响应里判断Content-Type一旦发现不是 JSON 就跳到登录页。过滤器链上还要放行静态资源比如/css/*、/js/*、/upload/*否则图片和样式会被权限 Filter 拦截。这个问题常被当成 java 面试里的场景题登录状态失效、前端拿到 302 怎么办。面试官想听的并不是“加一个拦截器”而是“拦截器放行规则如何设计、AJAX 和页面跳转如何区分”。4. 核心业务模块落地轮播图、社团审核、论坛和留言管理的实现边界4.1 首页轮播图存储路径与展示顺序首页轮播图管理是管理员最常操作的模块。表里的image_url存相对路径/upload/2024/xx.jpg真正文件放在项目的 upload 目录不能把图片转成 Base64 塞进数据库。Base64 会让表膨胀也拖慢查询保存文件路径才能在浏览器端直接GET /upload/...加载。查询展示顺序用一条简单 SQL 解决SELECT id, image_url, link_url, sort_order, status FROM carousel WHERE status 1 ORDER BY sort_order ASC, id DESC;sort_order是数字值越小越靠前。新增轮播图时让管理员填一个sort_order后端只做数字范围校验。文件上传要考虑跨浏览器支持前端input加acceptimage/*后端不能只依赖扩展名要通过ImageIO.read()或读取文件头判断真实类型否则改名的可执行文件也能伪装成图片上传。4.2 社团审核用状态字段而不是删除流社团创建的流程是用户填写名称和简介插入club表audit_status0管理员进入待审核列表看到audit_status0的记录点击通过或驳回实际上是更新状态。模块接口可以按这张表约定操作URL参数校验规则提交社团POST /user/club/addname, description, ownerIdname 非空长度 ≤ 100审核社团POST /admin/club/auditclubId, auditStatusauditStatus ∈ {1,2}发帖POST /user/post/addtitle, contenttitle 非空content 非空回复留言POST /admin/message/replysuggestionId, replysuggestionId 存在审核更新逻辑是常见写法public boolean updateAuditStatus(int clubId, int status) { String sql UPDATE club SET audit_status ? WHERE id ?; try (Connection conn DBUtil.getConnection(); PreparedStatement ps conn.prepareStatement(sql)) { ps.setInt(1, status); ps.setInt(2, clubId); return ps.executeUpdate() 1; } catch (SQLException e) { LOGGER.error(update club audit failed, clubId{}, status{}, clubId, status, e); return false; } }为什么用PreparedStatement而不是字符串拼接 SQL因为?参数会被驱动转义能挡掉一部分注入。clubId和status都通过setInt传避免把用户输入直接并进 SQL。审核状态最好只允许 0、1、2防止绕过页面直接传 9 把数据改脏。可以在 Service 层做枚举校验private static final SetInteger AUDIT_STATUS Set.of(0, 1, 2);普通用户误操作删除社团怎么办毕业设计里可以做成物理删除但从维护角度我建议保留记录只更新audit_status或status。这样管理员能查到历史社团用户误操作也能恢复不会因为删了 owner 导致历史帖子全部变成孤儿数据。4.3 论坛帖子与留言管理软删和分页查询论坛和留言管理的共性是列表接口不要一次查全表。页面最多展示 10 条或 20 条SQL 里要加LIMIT。示例SELECT id, user_id, title, content, status, create_time FROM forum_post WHERE status 1 AND title LIKE CONCAT(%, ?, %) ORDER BY create_time DESC LIMIT ?, ?;LIMIT的两个参数分别代表偏移量和页大小。在 JSP 里分页时offset (page - 1) * pageSize。很多初学项目不查COUNT(*)导致下一页没有数据也不知道总页数。正确做法是先查总条数再查当前页数据SELECT COUNT(*) FROM forum_post WHERE status 1;建议留言管理同理。suggestion表要有reply字段管理员回复后只更新reply和reply_time不删除用户留言。这样用户端“我的建议”页面才能显示官方回复。status字段只标记是否删除管理端删除时执行UPDATE suggestion SET status0 WHERE id?。个人中心不需要额外建表登录后从 Session 取userId更新 user 表的nick_name、avatar、phone即可。权限上只允许用户改自己的记录不能传别人的userId去改。管理员账号管理也复用这张 user 表禁用账号时执行UPDATE user SET status0 WHERE id?和论坛软删是同一套思路。4.4 模块边界哪些逻辑放 DAO哪些放 Service如果每个 Servlet 里直接操作 JDBC后面的代码会越来越难维护。常见做法是 Servlet - Service - DAO 三层DAO 只负责一条 SQL 的读写Service 负责状态校验、权限判断和事务边界。比如社团审核Service 先判断当前登录者是不是管理员再调用 DAO 更新状态。把判断写进 Servlet 虽然也能跑但以后有后台 API 或定时任务复用这段逻辑时代码就会重复。这个分层本质上就是 java 设计模式里最基本的职责单一原则。面试聊项目时对方还会顺着问同一用户不能审核自己提交的社团时你是用 SQL 条件还是 Java 判断答案在 Service 里查当前登录用户id和club.owner_id不等则抛出业务异常而不是依赖页面传参去信任调用方。5. 测试与验收给“登录-审核-发帖”链路写一份可重复执行的冒烟脚本冒烟测试的目的是确认主链路没断而不是把所有功能都点一遍。会展服务平台最值得测的三段是普通用户登录后能发帖管理员登录后能看到并审核社团轮播图状态变化后首页只展示启用项。下面这份 cURL 脚本可以直接放到项目根目录的scripts/smoke.sh里Windows 环境用 Git Bash 也能跑。#!/bin/bash BASEhttp://localhost:8080/exhibition echo 1. 管理员登录 curl -s -i -c /tmp/admin.cookie -X POST \ $BASE/login \ -d usernameadminpassword123456 \ -H Content-Type: application/x-www-form-urlencoded | head -n 5 echo 2. 管理员审核社团 curl -s -b /tmp/admin.cookie -X POST \ $BASE/admin/club/audit \ -d clubId3auditStatus1 \ -H Content-Type: application/x-www-form-urlencoded echo 3. 用户登录并发帖 curl -s -i -c /tmp/user.cookie -X POST $BASE/login \ -d usernameuserpassword123456 | head -n 3 curl -s -b /tmp/user.cookie -X POST $BASE/user/post/add \ -d title测试-冒烟content仅用于验证 | grep -o success-c把服务端返回的Set-Cookie写到文件-b读取文件里的 Cookie模拟浏览器维持 Session。head -n 5只打印 HTTP 状态行和头部避免登录页 HTML 刷屏。如果没有看到302和Location头说明登录接口的跳转逻辑有问题。第二段脚本执行后正常响应应返回 1 或成功 JSON。第三段脚本用用户账号登录后再发帖grep -o success判断接口是否返回预期标记如果接口返回的是普通 JSON把成功值改成true即可。注意冒烟脚本不要在生产库上跑。专门建一个exhibition_test数据库启动前执行初始化 SQL结束后用下面这句把测试数据清掉DELETE FROM club WHERE name LIKE 测试-%; DELETE FROM forum_post WHERE title LIKE 测试-%; DELETE FROM suggestion WHERE content LIKE 测试-%;DELETE 后还需要把自增 ID 归位方便下次脚本断言固定的clubId3ALTER TABLE club AUTO_INCREMENT 1;这样每次跑完都能回到同一起跑线。把smoke.sh和这段 SQL 放进同一个目录任何接手的人都能在 5 分钟内判断平台是否达到可交付状态。验证通过后再回头检查异常分支头像上传超限、审核状态重复提交、Session 过期后的跳转。本文还有配套的精品资源点击获取
Java会展服务平台设计与实现：从数据库到权限管理全解析
简介一份基于Java的会展服务平台设计与实现的毕业设计文档面向计算机相关专业学生及需要快速搭建管理类Web平台的开发者。内容完整覆盖需求分析、设计目标、B/S架构方案、Java动态页面设计、Mysql数据库存储及管理端/用户端功能模块划分适合作为课程设计、毕业设计或项目立项参考。资源为单个docx文档共1个文件约1.79MB包含从摘要、目录、正文到测试与结论的完整论文结构可直接查阅和复用。目前已有119人学习文档中对管理员个人中心、首页轮播图、社团审核、论坛管理及用户帖子管理等模块均有说明重点展示了如何以JavaMysql实现会展服务平台的交互性与实时性。借助这份资料可快速理解管理类信息平台的经典分层实现思路节省前期调研与框架设计时间也能为论文撰写和答辩准备提供较好的结构示范。1. 为什么毕设里的“会展服务平台”不等于一个门户网站初次接触这份《基于Java会展服务平台设计与实现》文档很容易被首页轮播、公告这些词带走以为做一个展示页面就行。真正把需求过一遍才会发现平台核心是两条完全不同的权限链管理员管社团审核、用户管理、留言回复用户只对自己发起的帖子和社团有操作权。这两条链不通过数据表和请求路径拆清楚项目做一半就会变成“页面很多没有一个能验收”。把文档整理成可复现项目时底层就是一个典型的 B/S 三层 Java Web 结构技术栈用 Java MySQL核心难点不在页面而在角色划分、会话管理和状态流转。对准备面试的开发者拆开看一遍能把 Java 基础、权限过滤、数据库表设计这些常考点串起来对要交付毕设或练手项目的工程师后面几章给了可以直接拷走的建表 SQL、登录 Filter 和接口写法。2. 从需求到模块会展服务平台的用例拆分与数据表设计2.1 先把“管理员”和“用户”拆成两条业务线拿到文档第一件事不是拖页面而是把角色厘清。这份会展服务平台的使用者只有管理员和普通用户但两边能触达的数据完全不同管理员关心首页轮播图、用户、社团审核、论坛和留言用户关心发帖、建立或加入社团、维护个人中心。如果只靠一个role字段区分后续每个接口都要反复判断“当前登录者是谁、能不能动这条数据”。毕设里能从演示阶段走到验收靠的就是把这条权限线在表结构阶段拆干净。从用例图展开看管理员和用户并没有共享同一套完整业务流。社团审核是典型例子用户只能提交管理员只能审批论坛帖子用户能发能改自己的管理员却可以下架。把这些操作映射到数据表后真正要做的不只是“管理功能”而是“不同角色对同一张表的有限操作”。这个结论直接决定后端 DAO 和 Service 的拆分方式。2.2 核心表设计不要只做一张 user 表数据库设计影响后端代码结构。很多初学版本把轮播图、帖子和留言塞进一张很大的宽表后期加字段非常痛苦。我一般会拆成 5 张常用表模块涉及表关键字段登录与权限userusername, password, role, status首页轮播图carouselimage_url, link_url, sort_order, status社团管理clubname, owner_id, audit_status, description论坛管理forum_postuser_id, title, content, status, create_time建议留言suggestionuser_id, content, reply, create_time这张表足够覆盖文档列出的管理员和用户模块。role不要设成varchar存“管理员/用户”用TINYINT更省空间也方便比较。password字段至少要留varchar(255)因为现代加密串远比 32 位长。sort_order用来控制轮播图顺序比时间戳排序更直观。下面给出一段基础 SQL保留外键关联但没滥用CREATE TABLE user ( id INT NOT NULL AUTO_INCREMENT, username VARCHAR(50) NOT NULL, password VARCHAR(255) NOT NULL, role TINYINT NOT NULL DEFAULT 0 COMMENT 0-普通用户1-管理员, status TINYINT NOT NULL DEFAULT 1 COMMENT 1-启用0-禁用, create_time DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (id), UNIQUE KEY uk_username (username) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4; CREATE TABLE club ( id INT NOT NULL AUTO_INCREMENT, name VARCHAR(100) NOT NULL, owner_id INT NOT NULL, description TEXT, audit_status TINYINT NOT NULL DEFAULT 0 COMMENT 0-待审核1-通过2-驳回, create_time DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (id), KEY idx_owner_id (owner_id), CONSTRAINT fk_club_owner FOREIGN KEY (owner_id) REFERENCES user (id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;代码里的COMMENT会被 MySQL 保留成字段说明很多人忽略这一点。后期接数据的人直接查information_schema.COLUMNS就能还原业务含义不用再翻设计文档。owner_id指向user.id同时加上索引。外键在毕设项目里可以保留但在并发写入高的生产环境外键会拖慢 UPDATE。这里的平台是 B/S 结构量级不大保留外键能防止 owner 被删后出现悬空社团。2.3 页面流转需要的数据读取路径有了表结构再去看页面流转。登录后JSP 或 Servlet 会按角色把用户带向不同首页。管理员看到的/admin/home需要查轮播图列表和待审核社团数用户看到的/user/home只查自己的帖子、社团。不要在同一个 Servlet 里用一堆if写两个首页逻辑而是拆成AdminHomeServlet和UserHomeServlet两个入口各自调用对应 DAO。这样做的原因是把数据库负载分散到查询本身而不是在 Java 内存里过滤完整表。类似“判断 role 后加载不同菜单”的逻辑也会让后续新增模块时改动集中在配置里而不是散落到各页面。社团列表、论坛列表都按这个思路设计接口和页面一一对应调试时看 URL 就能定位问题。3. 三层结构下的会话管理登录权限与用户/管理员双角色实现3.1 登录请求的路径从浏览器到 ServletB/S 结构下用户在浏览器输入用户名密码请求先到 Servlet 容器。登录页提交到/login后端做三层处理接收参数、查库校验、写会话。这里要注意GET和POST的区别登录接口必须用POST否则密码会出现在 URL 历史记录里。这个细节也是 java 基础面试题里常被问到的“表单提交安全性”。以一个极简的LoginServlet为例WebServlet(/login) public class LoginServlet extends HttpServlet { private final UserDao userDao new UserDao(); Override protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException { req.setCharacterEncoding(UTF-8); String username trimToNull(req.getParameter(username)); String password req.getParameter(password); if (username null || password null || password.isEmpty()) { req.setAttribute(msg, 用户名和密码不能为空); req.getRequestDispatcher(/login.jsp).forward(req, resp); return; } User user userDao.findByUsername(username); if (user null || !PasswordUtil.matches(password, user.getPassword())) { req.setAttribute(msg, 用户名或密码错误); req.getRequestDispatcher(/login.jsp).forward(req, resp); return; } if (user.getStatus() ! 1) { req.setAttribute(msg, 账号已被禁用); req.getRequestDispatcher(/login.jsp).forward(req, resp); return; } HttpSession session req.getSession(); session.setAttribute(loginUser, user); session.setMaxInactiveInterval(60 * 30); // 30 分钟会话超时 if (Integer.valueOf(1).equals(user.getRole())) { resp.sendRedirect(req.getContextPath() /admin/home); } else { resp.sendRedirect(req.getContextPath() /user/home); } } }trimToNull是业务工具方法避免用户输入纯空格。findByUsername只按用户名取一条记录不在 Java 里拼 SQL也不直接拿用户提交的密码去查WHERE password ?这样才能在后期无痛替换加密算法。PasswordUtil.matches封装 BCrypt 校验而不是简单地user.getPassword().equals(password)。req.getRequestDispatcher(...).forward和resp.sendRedirect的区别在于forward不改变浏览器地址栏适合处理失败后回显sendRedirect会让浏览器重新请求目标地址适合登录成功后跳转。如果把失败提示也用sendRedirectrequest里的msg会丢失用户看不到错误原因。3.2 用 Filter 统一做权限校验而不是在每个页面里重复判断双角色项目最容易出现的 bug是管理员页面跳转后普通用户手动输入 URL 也能打开。给/admin/*和/user/*分别加 Filter 是最直接的方案。下面是一个管理端 Filter 片段WebFilter(/admin/*) public class AdminAuthFilter implements Filter { Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { HttpServletRequest req (HttpServletRequest) request; HttpSession session req.getSession(false); User loginUser session null ? null : (User) session.getAttribute(loginUser); if (loginUser null || !Integer.valueOf(1).equals(loginUser.getRole())) { ((HttpServletResponse) response).sendRedirect(req.getContextPath() /login.jsp); return; } chain.doFilter(request, response); } }req.getSession(false)是关键。如果改成getSession()没有登录的用户也会被创建一个新 Session然后再重定向白白浪费服务器资源。role判断用Integer.valueOf(1).equals(...)可以避免“字符串 1”和“整数 1”类型混淆。很多项目在这里直接写loginUser.getRole() 1当role是Integer类型时可能触发拆箱空指针。权限路径规划可以统一成一张表接口设计也按约定走URL 前缀允许角色说明/admin/**管理员轮播图、用户、社团审核、留言管理/user/**普通用户帖子、社团、个人中心/public/**游客和管理员登录页、首页轮播展示/login, /logout全部认证入口这张表的作用是让前端和后端都按 URL 前缀约定去写而不是根据按钮显示隐藏来控制权限。按钮不能只靠前端隐藏来防别人访问接口仍可以被直接调用。真正的控制要落在 Filter 和 Service 层的数据归属判断上。3.3 会话过期后的页面跳转陷阱Session 超时后Ajax 请求会拿到登录页 HTML 而不是 JSON。如果平台里有发帖、留言这类异步请求前端统一在fetch的响应里判断Content-Type一旦发现不是 JSON 就跳到登录页。过滤器链上还要放行静态资源比如/css/*、/js/*、/upload/*否则图片和样式会被权限 Filter 拦截。这个问题常被当成 java 面试里的场景题登录状态失效、前端拿到 302 怎么办。面试官想听的并不是“加一个拦截器”而是“拦截器放行规则如何设计、AJAX 和页面跳转如何区分”。4. 核心业务模块落地轮播图、社团审核、论坛和留言管理的实现边界4.1 首页轮播图存储路径与展示顺序首页轮播图管理是管理员最常操作的模块。表里的image_url存相对路径/upload/2024/xx.jpg真正文件放在项目的 upload 目录不能把图片转成 Base64 塞进数据库。Base64 会让表膨胀也拖慢查询保存文件路径才能在浏览器端直接GET /upload/...加载。查询展示顺序用一条简单 SQL 解决SELECT id, image_url, link_url, sort_order, status FROM carousel WHERE status 1 ORDER BY sort_order ASC, id DESC;sort_order是数字值越小越靠前。新增轮播图时让管理员填一个sort_order后端只做数字范围校验。文件上传要考虑跨浏览器支持前端input加acceptimage/*后端不能只依赖扩展名要通过ImageIO.read()或读取文件头判断真实类型否则改名的可执行文件也能伪装成图片上传。4.2 社团审核用状态字段而不是删除流社团创建的流程是用户填写名称和简介插入club表audit_status0管理员进入待审核列表看到audit_status0的记录点击通过或驳回实际上是更新状态。模块接口可以按这张表约定操作URL参数校验规则提交社团POST /user/club/addname, description, ownerIdname 非空长度 ≤ 100审核社团POST /admin/club/auditclubId, auditStatusauditStatus ∈ {1,2}发帖POST /user/post/addtitle, contenttitle 非空content 非空回复留言POST /admin/message/replysuggestionId, replysuggestionId 存在审核更新逻辑是常见写法public boolean updateAuditStatus(int clubId, int status) { String sql UPDATE club SET audit_status ? WHERE id ?; try (Connection conn DBUtil.getConnection(); PreparedStatement ps conn.prepareStatement(sql)) { ps.setInt(1, status); ps.setInt(2, clubId); return ps.executeUpdate() 1; } catch (SQLException e) { LOGGER.error(update club audit failed, clubId{}, status{}, clubId, status, e); return false; } }为什么用PreparedStatement而不是字符串拼接 SQL因为?参数会被驱动转义能挡掉一部分注入。clubId和status都通过setInt传避免把用户输入直接并进 SQL。审核状态最好只允许 0、1、2防止绕过页面直接传 9 把数据改脏。可以在 Service 层做枚举校验private static final SetInteger AUDIT_STATUS Set.of(0, 1, 2);普通用户误操作删除社团怎么办毕业设计里可以做成物理删除但从维护角度我建议保留记录只更新audit_status或status。这样管理员能查到历史社团用户误操作也能恢复不会因为删了 owner 导致历史帖子全部变成孤儿数据。4.3 论坛帖子与留言管理软删和分页查询论坛和留言管理的共性是列表接口不要一次查全表。页面最多展示 10 条或 20 条SQL 里要加LIMIT。示例SELECT id, user_id, title, content, status, create_time FROM forum_post WHERE status 1 AND title LIKE CONCAT(%, ?, %) ORDER BY create_time DESC LIMIT ?, ?;LIMIT的两个参数分别代表偏移量和页大小。在 JSP 里分页时offset (page - 1) * pageSize。很多初学项目不查COUNT(*)导致下一页没有数据也不知道总页数。正确做法是先查总条数再查当前页数据SELECT COUNT(*) FROM forum_post WHERE status 1;建议留言管理同理。suggestion表要有reply字段管理员回复后只更新reply和reply_time不删除用户留言。这样用户端“我的建议”页面才能显示官方回复。status字段只标记是否删除管理端删除时执行UPDATE suggestion SET status0 WHERE id?。个人中心不需要额外建表登录后从 Session 取userId更新 user 表的nick_name、avatar、phone即可。权限上只允许用户改自己的记录不能传别人的userId去改。管理员账号管理也复用这张 user 表禁用账号时执行UPDATE user SET status0 WHERE id?和论坛软删是同一套思路。4.4 模块边界哪些逻辑放 DAO哪些放 Service如果每个 Servlet 里直接操作 JDBC后面的代码会越来越难维护。常见做法是 Servlet - Service - DAO 三层DAO 只负责一条 SQL 的读写Service 负责状态校验、权限判断和事务边界。比如社团审核Service 先判断当前登录者是不是管理员再调用 DAO 更新状态。把判断写进 Servlet 虽然也能跑但以后有后台 API 或定时任务复用这段逻辑时代码就会重复。这个分层本质上就是 java 设计模式里最基本的职责单一原则。面试聊项目时对方还会顺着问同一用户不能审核自己提交的社团时你是用 SQL 条件还是 Java 判断答案在 Service 里查当前登录用户id和club.owner_id不等则抛出业务异常而不是依赖页面传参去信任调用方。5. 测试与验收给“登录-审核-发帖”链路写一份可重复执行的冒烟脚本冒烟测试的目的是确认主链路没断而不是把所有功能都点一遍。会展服务平台最值得测的三段是普通用户登录后能发帖管理员登录后能看到并审核社团轮播图状态变化后首页只展示启用项。下面这份 cURL 脚本可以直接放到项目根目录的scripts/smoke.sh里Windows 环境用 Git Bash 也能跑。#!/bin/bash BASEhttp://localhost:8080/exhibition echo 1. 管理员登录 curl -s -i -c /tmp/admin.cookie -X POST \ $BASE/login \ -d usernameadminpassword123456 \ -H Content-Type: application/x-www-form-urlencoded | head -n 5 echo 2. 管理员审核社团 curl -s -b /tmp/admin.cookie -X POST \ $BASE/admin/club/audit \ -d clubId3auditStatus1 \ -H Content-Type: application/x-www-form-urlencoded echo 3. 用户登录并发帖 curl -s -i -c /tmp/user.cookie -X POST $BASE/login \ -d usernameuserpassword123456 | head -n 3 curl -s -b /tmp/user.cookie -X POST $BASE/user/post/add \ -d title测试-冒烟content仅用于验证 | grep -o success-c把服务端返回的Set-Cookie写到文件-b读取文件里的 Cookie模拟浏览器维持 Session。head -n 5只打印 HTTP 状态行和头部避免登录页 HTML 刷屏。如果没有看到302和Location头说明登录接口的跳转逻辑有问题。第二段脚本执行后正常响应应返回 1 或成功 JSON。第三段脚本用用户账号登录后再发帖grep -o success判断接口是否返回预期标记如果接口返回的是普通 JSON把成功值改成true即可。注意冒烟脚本不要在生产库上跑。专门建一个exhibition_test数据库启动前执行初始化 SQL结束后用下面这句把测试数据清掉DELETE FROM club WHERE name LIKE 测试-%; DELETE FROM forum_post WHERE title LIKE 测试-%; DELETE FROM suggestion WHERE content LIKE 测试-%;DELETE 后还需要把自增 ID 归位方便下次脚本断言固定的clubId3ALTER TABLE club AUTO_INCREMENT 1;这样每次跑完都能回到同一起跑线。把smoke.sh和这段 SQL 放进同一个目录任何接手的人都能在 5 分钟内判断平台是否达到可交付状态。验证通过后再回头检查异常分支头像上传超限、审核状态重复提交、Session 过期后的跳转。本文还有配套的精品资源点击获取
