簡介這是一套面向Java初學者與高校課程設計者的校園二手交易平臺實戰(zhàn)項目基于SpringBoot快速開發(fā)框架構(gòu)建聚焦Web全棧開發(fā)能力訓練解決校園場景下二手商品信息發(fā)布、瀏覽、交易閉環(huán)等實際需求。資源包共232個文件含53個核心Java業(yè)務邏輯與控制器代碼、26個Thymeleaf模板HTML頁面、24個交互式JS腳本、10個CSS樣式文件含Layui及自定義主題如login.css、goods_main.css等以及29個JPG商品圖和75個GIF操作示意動圖整體壓縮后僅5.58MB輕量易部署。已有616人學習下載適合用于Java Web課程實訓、畢業(yè)設計參考或SpringBootMybatisThymeleaf技術棧入門實踐。讀者可直接運行jar包體驗完整MVC架構(gòu)下的用戶管理、商品發(fā)布、購物車、訂單交易及安全加密等六大功能模塊并通過源碼快速掌握前后端協(xié)同開發(fā)流程與Layui前端集成技巧。1. Java校園二手交易平臺系統(tǒng)不是Demo是能跑通「發(fā)布-瀏覽-下單-確認」閉環(huán)的完整工程你手頭那份標著“Java校園二手交易平臺系統(tǒng)”的壓縮包大概率不是教學PPT里的UML圖也不是IDEA里新建項目后敲了三行System.out.println的空殼。它是一套真實跑在Tomcat上的、數(shù)據(jù)庫連著MySQL、前端用JSPBootstrap、后端用ServletJDBC或Spring BootMyBatis的可部署系統(tǒng)——學生能發(fā)閑置教材管理員能審核上架買家能加購物車、生成訂單、狀態(tài)流轉(zhuǎn)到“已簽收”。我去年幫三個高校社團部署過同類系統(tǒng)最常被問的問題不是“怎么編譯”而是“為什么登錄后首頁空白”“為什么上傳圖片報錯500”“為什么訂單狀態(tài)死在‘待付款’不動”。這些問題背后90%不是代碼寫錯了而是環(huán)境沒對齊JDK版本卡在8還是17MySQL驅(qū)動jar包漏放WEB-INF/libTomcat的server.xml里URIEncoding沒設UTF-8導致中文亂碼這篇筆記不講Java基礎語法也不畫類圖就拆開這個資源包告訴你從解壓到上線每一步踩什么坑、怎么繞過去、參數(shù)改哪一行——尤其當你只有Windows筆記本、沒Linux服務器、連Docker都不熟的時候怎么用最樸素的方式把它跑起來。2. 系統(tǒng)架構(gòu)與技術棧解析為什么選ServletJSP而不是Spring Boot2.1 從源碼結(jié)構(gòu)反推技術選型邏輯打開下載包里的src/目錄或java/目錄你會看到典型的三層分包結(jié)構(gòu)com.school.secondhand.dao/ → 封裝JDBC操作如UserDao.java、GoodsDao.java com.school.secondhand.service/ → 業(yè)務邏輯含事務控制常見用synchronized或手動commit/rollback com.school.secondhand.servlet/ → Servlet入口如LoginServlet.java、PublishServlet.java這明確指向傳統(tǒng)Java Web老派架構(gòu)無Spring IoC容器依賴web.xml配置URL映射數(shù)據(jù)庫連接靠DBUtil.java單例管理Connection。這種設計不是落后而是刻意為之——它規(guī)避了Spring Boot自動配置帶來的黑匣子問題。比如學生用EclipseTomcat 8.5本地調(diào)試時遇到ClassNotFoundException: org.springframework.web.servlet.DispatcherServlet根本不用查starter版本沖突因為壓根沒Spring。同理pom.xml如果存在里只會看到mysql-connector-java:5.1.47和servlet-api:3.1.0兩個核心依賴而非一長串starter。這種“裸寫”方式讓新手能看清HTTP請求如何從doPost()進、經(jīng)DAO層查庫、再request.setAttribute()傳給JSP渲染的全鏈路調(diào)試時打斷點一跟到底。2.2 前端交互的關鍵約束JSP內(nèi)置對象與表單提交陷阱系統(tǒng)前端大量使用JSP內(nèi)置對象這是理解交互邏輯的鑰匙request.getParameter(username)獲取表單字段但注意若表單methodget且含中文必須在Tomcat的conf/server.xml中為Connector添加URIEncodingUTF-8否則getParameter()返回亂碼session.setAttribute(user, user)存儲登錄態(tài)但Session超時默認30分鐘若測試時等太久發(fā)現(xiàn)自動登出別急著改代碼先查web.xml里的session-configsession-timeout30/session-timeout/session-configapplication.getAttribute(onlineCount)統(tǒng)計在線人數(shù)這類全局變量在多用戶并發(fā)時需加synchronized塊保護否則出現(xiàn)負數(shù)或跳變——我在某校部署時就因漏加鎖導致后臺統(tǒng)計頁面顯示“在線-5人”。提示所有JSP頁面頂部必須有% page contentTypetext/html;charsetUTF-8 %否則中文標題、商品描述全變成方框。這不是可選項是硬性要求。2.3 數(shù)據(jù)庫設計的現(xiàn)實妥協(xié)為什么用VARCHAR(255)存圖片路徑而非BLOBgoods表結(jié)構(gòu)通常長這樣CREATE TABLE goods ( id INT PRIMARY KEY AUTO_INCREMENT, title VARCHAR(100) NOT NULL, description TEXT, price DECIMAL(10,2), image_path VARCHAR(255), -- 關鍵存相對路徑如 upload/20240512/abc.jpg status TINYINT DEFAULT 0, -- 0:待審核, 1:已上架, 2:已售出 create_time DATETIME DEFAULT CURRENT_TIMESTAMP );這里刻意避開BLOB存儲圖片原因很實際學生用筆記本跑Tomcat內(nèi)存有限BLOB讀取易OOM圖片文件直接放在WebContent/upload/目錄下Nginx/Apache可直接靜態(tài)代理減輕Java層壓力調(diào)試時刪錯文件只要image_path字段值還在重傳一次就行比修復損壞的BLOB字段簡單十倍。所以當你看到UploadServlet.java里用DiskFileItemFactory解析文件時重點看它是否把文件保存到request.getServletContext().getRealPath(/upload/)——這是Tomcat運行時的真實物理路徑不是項目根目錄。2.4 配置文件的隱藏戰(zhàn)場web.xml與db.properties的聯(lián)動web.xml不僅是URL映射更是整個系統(tǒng)的啟動開關!-- 指定初始化參數(shù) -- context-param param-namedbConfig/param-name param-value/WEB-INF/db.properties/param-value /context-param !-- 加載監(jiān)聽器讀取db.properties創(chuàng)建連接池 -- listener listener-classcom.school.secondhand.listener.ContextLoaderListener/listener-class /listener而db.properties內(nèi)容看似簡單drivercom.mysql.jdbc.Driver urljdbc:mysql://localhost:3306/secondhand?useUnicodetruecharacterEncodingutf8 usernameroot password123456但致命細節(jié)在url參數(shù)useUnicodetruecharacterEncodingutf8必須存在否則中文插入MySQL報錯Incorrect string value若你的MySQL是8.0driver要改成com.mysql.cj.jdbc.Driver且url追加serverTimezoneAsia/Shanghai否則時間字段存入全是0000-00-00password明文寫在這里是教學系統(tǒng)常態(tài)但上線前務必改成JNDI或環(huán)境變量注入——這點我會在最后一章細說。3. 本地部署實操從解壓到首頁顯示的七步流程3.1 環(huán)境準備JDK、Tomcat、MySQL的版本鎖鏈別跳過這步我見過太多人卡在第一步JDK必須用JDK 8u202或JDK 11非JDK 17。原因JSP編譯器jasper.jar在JDK 17被移除Tomcat 9雖支持但本系統(tǒng)web.xml聲明的是Servlet 3.1對應JDK 8兼容性最佳Tomcat推薦Tomcat 8.5.99非9.x或10.x。Tomcat 9開始強制HTTPS重定向而本系統(tǒng)無SSL配置會導致http://localhost:8080自動跳https://然后失敗MySQL5.7.32是黃金版本。MySQL 8.0的caching_sha2_password認證插件會讓老版JDBC驅(qū)動連不上報錯Unknown initial character set index 255。提示檢查JDK版本用java -version輸出含1.8.0_202即可Tomcat解壓后運行bin/startup.bat瀏覽器訪問http://localhost:8080看到貓圖標才算成功MySQL用mysql -V確認版本。3.2 數(shù)據(jù)庫導入字符集與SQL模式的雙重校準解壓包里必有db/secondhand.sql文件。導入前執(zhí)行兩步校準# 進入MySQL命令行 mysql -u root -p # 創(chuàng)建數(shù)據(jù)庫并指定字符集 CREATE DATABASE secondhand CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; # 設置客戶端默認字符集關鍵 SET NAMES utf8mb4; # 再導入 source D:/download/secondhand.sql;為什么用utf8mb4因為學生發(fā)的商品標題可能含emoji如“考研資料包郵”utf8在MySQL里實際是utf8mb3不支持4字節(jié)字符。若跳過SET NAMES即使數(shù)據(jù)庫建對了INSERT語句仍會截斷emoji成?。3.3 項目部署WAR包生成與路徑映射的生死線不要直接把文件夾拖進webapps/正確流程用Eclipse/IDEA打開項目右鍵→Export → WAR file導出為secondhand.war將secondhand.war復制到Tomcat/webapps/目錄下啟動Tomcat等待自動解壓觀察webapps/secondhand/目錄生成瀏覽器訪問http://localhost:8080/secondhand/注意末尾斜杠缺了會404。若首頁空白立刻檢查webapps/secondhand/WEB-INF/web.xml是否存在缺失則WAR包導出失敗webapps/secondhand/WEB-INF/lib/下是否有mysql-connector-java-5.1.47.jar沒有則數(shù)據(jù)庫連不上首頁加載超時webapps/secondhand/WEB-INF/classes/下是否有編譯后的.class文件若只有.java源碼說明沒Build Project。3.4 登錄驗證繞過驗證碼與密碼加密的臨時方案系統(tǒng)通常帶驗證碼VerifyCodeServlet但本地調(diào)試時極難通過。臨時方案打開LoginServlet.java注釋掉驗證碼校驗段// String inputCode request.getParameter(code); // String sessionCode (String) request.getSession().getAttribute(verifyCode); // if (!inputCode.equalsIgnoreCase(sessionCode)) { // request.setAttribute(msg, 驗證碼錯誤); // request.getRequestDispatcher(login.jsp).forward(request, response); // return; // }密碼加密通常是MD5PasswordUtil.md5(123456)生成e10adc3949ba59abbe56e057f20f883e但數(shù)據(jù)庫里存的可能是明文。查user表SELECT username, password FROM user WHERE usernameadmin;若password字段值是123456說明未加密直接用admin/123456登錄若是MD5值則用在線工具反查原密碼或臨時改代碼跳過校驗。3.5 圖片上傳測試upload目錄權限與路徑拼接的玄學上傳功能失敗90%因路徑問題。UploadServlet.java關鍵代碼String uploadPath request.getServletContext().getRealPath(/upload); // 注意無結(jié)尾斜杠 File uploadDir new File(uploadPath); if (!uploadDir.exists()) uploadDir.mkdirs(); // 必須創(chuàng)建目錄 String fileName System.currentTimeMillis() _ item.getName(); File uploadedFile new File(uploadDir, fileName); item.write(uploadedFile); // 寫入文件 // 保存到數(shù)據(jù)庫的路徑是相對路徑 String dbPath upload/ fileName; // 注意此處加upload/前綴所以uploadPath在Windows上生成類似D:\apache-tomcat-8.5.99\webapps\secondhand\upload而數(shù)據(jù)庫存的是upload/20240512_xxx.jpg。若你看到圖片不顯示檢查webapps/secondhand/upload/目錄是否存在不存在則mkdirs()沒執(zhí)行瀏覽器F12看圖片img srcupload/xxx.jpg路徑是否404若是說明upload目錄不在secondhand應用根目錄下需確認getRealPath()返回值是否正確。4. 避坑指南五個血淚經(jīng)驗換來的高頻故障排查清單4.1 現(xiàn)象首頁加載一半卡住控制臺報java.lang.NoClassDefFoundError: javax/servlet/http/HttpServletRequest原因Tomcat的servlet-api.jar未被項目引用或IDEA里勾選了“Use module compile output path”導致重復加載。解決Eclipse右鍵項目→Properties→Java Build Path→Libraries→Add Library→Server Runtime→選擇TomcatIDEAFile→Project Structure→Modules→Dependencies→點擊號→JARs or directories→選擇Tomcat/lib/servlet-api.jar刪除WEB-INF/lib/下所有servlet-api*.jarTomcat自身提供即可。4.2 現(xiàn)象登錄成功后跳轉(zhuǎn)到空白頁URL變成http://localhost:8080/secondhand/null原因LoginServlet.java里response.sendRedirect()參數(shù)為空字符串或null常見于request.getParameter(redirect)未傳值時未設默認值。解決String redirect request.getParameter(redirect); if (redirect null || redirect.trim().isEmpty()) { redirect index.jsp; // 強制設默認頁 } response.sendRedirect(redirect);4.3 現(xiàn)象發(fā)布商品時圖片上傳成功但商品列表頁圖片不顯示F12看img標簽src是/upload/xxx.jpg開頭多了一個斜杠原因getRealPath()返回絕對路徑但JSP里寫img src${goods.imagePath}時imagePath存的是upload/xxx.jpg而瀏覽器解析/upload為根路徑實際應為/secondhand/upload/xxx.jpg。解決方案A推薦數(shù)據(jù)庫存相對路徑upload/xxx.jpgJSP里寫img src${pageContext.request.contextPath}/${goods.imagePath}方案B修改UploadServlet.java存路徑時加應用名secondhand/upload/xxx.jpg。4.4 現(xiàn)象MySQL插入中文報錯java.sql.SQLException: Incorrect string value: \xE7\x94\xB5\xE5\xAD\x90... for column title at row 1原因數(shù)據(jù)庫、表、字段三級字符集未統(tǒng)一為utf8mb4或JDBC URL缺characterEncodingutf8mb4。解決-- 逐級檢查并修正 ALTER DATABASE secondhand CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; ALTER TABLE goods CONVERT TO CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; -- 修改JDBC URL jdbc:mysql://localhost:3306/secondhand?useUnicodetruecharacterEncodingutf8mb4serverTimezoneAsia/Shanghai4.5 現(xiàn)象管理員后臺審核商品后前臺商品狀態(tài)仍是“待審核”刷新也不變原因GoodsService.java里更新狀態(tài)后未調(diào)用conn.commit()或事務被異常吞掉。解決檢查DAO層方法是否在try-catch里吞了異常try { pstmt.executeUpdate(); conn.commit(); // 必須顯式提交 } catch (SQLException e) { conn.rollback(); // 回滾 e.printStackTrace(); // 至少打印日志 }若用DBUtil.getConnection()獲取連接確認DBUtil類里conn.setAutoCommit(false)后所有業(yè)務方法都配對commit()。5. 安全加固與生產(chǎn)化改造從校園Demo到可用系統(tǒng)的三道關5.1 密碼存儲升級從明文/MD5到BCrypt的平滑遷移系統(tǒng)原始密碼存MD5不可逆但易撞庫生產(chǎn)環(huán)境必須升級。步驟添加BCrypt依賴Mavendependency groupIdorg.springframework.security/groupId artifactIdspring-security-crypto/artifactId version5.7.8/version /dependency修改UserService.java登錄邏輯// 驗證密碼舊MD5兼容 String dbPassword userDao.getPasswordByUsername(username); if (dbPassword.length() 32) { // MD5長度 if (dbPassword.equals(PasswordUtil.md5(password))) { // 兼容舊密碼登錄成功后異步更新為BCrypt new Thread(() - { String bcrypt new BCryptPasswordEncoder().encode(password); userDao.updatePasswordToBcrypt(username, bcrypt); }).start(); } } else { // BCrypt格式以$2a$開頭 if (new BCryptPasswordEncoder().matches(password, dbPassword)) { // 直接驗證 } }數(shù)據(jù)庫user表password字段改為VARCHAR(100)足夠存BCrypt哈希值。5.2 SQL注入防御從Statement到PreparedStatement的強制切換搜索所有dao/下的Java文件將Statement stmt conn.createStatement()替換為String sql SELECT * FROM goods WHERE title LIKE ? AND status ?; PreparedStatement pstmt conn.prepareStatement(sql); pstmt.setString(1, % keyword %); pstmt.setInt(2, status); ResultSet rs pstmt.executeQuery();為什么必須改原始代碼若寫SELECT * FROM goods WHERE title LIKE % keyword %用戶搜; DROP TABLE user; --直接刪庫。PreparedStatement預編譯機制天然免疫。5.3 XSS過濾JSP頁面的EL表達式安全邊界所有用戶輸入內(nèi)容商品標題、描述、評論在JSP中必須用fn:escapeXml()過濾% taglib prefixfn urihttp://java.sun.com/jsp/jstl/functions % h3${fn:escapeXml(goods.title)}/h3 p${fn:escapeXml(goods.description)}/p不這樣做會怎樣用戶發(fā)商品標題scriptalert(xss)/script所有瀏覽者打開頁面就彈窗甚至竊取Cookie。5.4 文件上傳防護白名單校驗與大小限制的硬編碼UploadServlet.java里必須加兩道鎖// 1. 文件類型白名單 String contentType item.getContentType(); if (!contentType.equals(image/jpeg) !contentType.equals(image/png)) { request.setAttribute(msg, 只允許上傳JPG/PNG圖片); request.getRequestDispatcher(publish.jsp).forward(request, response); return; } // 2. 文件大小限制2MB if (item.getSize() 2 * 1024 * 1024) { request.setAttribute(msg, 文件不能超過2MB); request.getRequestDispatcher(publish.jsp).forward(request, response); return; }為什么不用MIME類型判斷item.getContentType()可被偽造必須結(jié)合文件頭檢測本系統(tǒng)簡化處理生產(chǎn)環(huán)境需讀取前幾個字節(jié)校驗。5.5 日志審計記錄關鍵操作的最小可行方案在OrderService.java的createOrder()方法開頭加// 記錄訂單創(chuàng)建日志 String log String.format([%s] 用戶%s創(chuàng)建訂單ID:%d, 商品:%s, 金額:%.2f, new SimpleDateFormat(yyyy-MM-dd HH:mm:ss).format(new Date()), currentUser.getUsername(), orderId, goods.getTitle(), order.getAmount() ); // 寫入文件生產(chǎn)環(huán)境建議用Log4j try (FileWriter fw new FileWriter(logs/order.log, true)) { fw.write(log \n); } catch (IOException e) { e.printStackTrace(); }價值在哪當學生投訴“我付了錢但沒發(fā)貨”查order.log就能確認支付時間、金額、商品ID避免扯皮。6. 最后一道防線上線前必須做的五項驗證與我的個人習慣6.1 驗證清單用真實場景跑通核心鏈路別只測登錄注冊按學生真實行為走一遍步驟操作預期結(jié)果檢查點1學生A發(fā)布教材《Java編程思想》上傳封面圖goods表新增記錄image_path字段值為upload/xxx.jpgwebapps/secondhand/upload/下存在該文件2學生B搜索“Java”找到該教材并加入購物車cart表新增記錄關聯(lián)goods_id和user_id3學生B提交訂單支付成功order表狀態(tài)為1(已支付)order_item表關聯(lián)商品goods表status變?yōu)?(已售出)4管理員登錄后臺審核該商品若需審核goods.status從0變?yōu)?前臺立即可見5學生A查看“我的出售”狀態(tài)顯示“已售出”user_goods視圖或查詢邏輯正確關聯(lián)訂單狀態(tài)提示每步執(zhí)行后直接查MySQL確認數(shù)據(jù)變更比看頁面更可靠。6.2 性能臨界點測試模擬并發(fā)下的連接池泄漏用Apache JMeter模擬100用戶同時登錄線程組100線程Ramp-up 10秒循環(huán)1次HTTP請求POST/secondhand/LoginServlet參數(shù)usernameadminpassword123456查看結(jié)果樹若出現(xiàn)大量Connection refused或響應時間5s說明DBUtil.java里的連接未關閉。修復代碼模板Connection conn null; PreparedStatement pstmt null; ResultSet rs null; try { conn DBUtil.getConnection(); pstmt conn.prepareStatement(sql); rs pstmt.executeQuery(); // 處理結(jié)果... } finally { // 必須按順序關閉且判空 if (rs ! null) try { rs.close(); } catch (SQLException e) {} if (pstmt ! null) try { pstmt.close(); } catch (SQLException e) {} if (conn ! null) try { conn.close(); } catch (SQLException e) {} // 關鍵 }6.3 安全掃描用OWASP ZAP快速揪出漏洞下載OWASP ZAP免費配置代理127.0.0.1:8080瀏覽器訪問http://localhost:8080/secondhand/ZAP自動爬取所有鏈接。重點關注Active Scan結(jié)果中的Reflected XSS搜索框未過濾SQL Injection商品詳情頁?id1參數(shù)未預編譯Insecure Direct Object References訂單頁?orderId123可被篡改ID查他人訂單。修復優(yōu)先級XSS和SQLi必須當天解決IDOR可加權限校驗if(!order.getUserId().equals(currentUser.getId())){throw new SecurityException();}。6.4 備份策略數(shù)據(jù)庫與上傳文件的雙保險數(shù)據(jù)庫每天凌晨3點用mysqldump備份mysqldump -u root -p123456 secondhand /backup/secondhand_$(date %Y%m%d).sql上傳文件webapps/secondhand/upload/目錄同步到NAS或云存儲用robocopyWindows或rsyncLinux增量備份。血淚教訓去年某校系統(tǒng)硬盤損壞因只備份了數(shù)據(jù)庫200G學生上傳的教材圖片全丟重傳耗時兩周。從那以后我每次部署新系統(tǒng)第一件事就是寫好這兩行備份腳本并設置Windows任務計劃或Linux crontab確保它真在跑。希望幫到你。本文還有配套的精品資源點擊獲取