简介本资源是一套完整可用的JavaWeb课程设计项目——蛋糕店网站系统源码面向计算机专业本科生及Java初学者适用于毕业设计、课程设计与期末大作业等实践场景解决Web应用开发中商品管理、订单处理与前后端交互等核心问题。压缩包共408个文件含55个Java业务逻辑类、58个JSP页面、110个编译后Class文件、20个XML配置文件及18个Jar依赖库辅以JS、CSS、图片JPG/PNG/GIF和SQL脚本结构清晰、模块完整22.02MB大小开箱即用。已有1739人学习下载项目经导师指导并获97分高分评价具备完整MVC分层结构从GoodsDao、OrderDao到AdminGoodsAddServlet等预览类名可见其覆盖商品增删改查、后台管理与订单流程等典型功能可直接部署运行是理解JavaWeb技术栈落地实践的优质参考案例。1. 这不是“做个网页”——JavaWeb蛋糕店系统本质是三层架构的落地训练场很多同学拿到“基于JavaWeb的蛋糕店网站系统源码课程设计”这个标题第一反应是不就是用JSPServlet搭个前台页面、连个MySQL查点商品但实际翻开源码压缩包会发现它卡在了课程设计最典型的断层上——有完整MVC分层结构却缺真实业务闭环有用户登录和购物车但订单状态流转不触发库存扣减数据库表建了5张外键约束和事务边界却没在Service层显式体现。这恰恰是高校JavaWeb教学的真实切口它不追求高并发或微服务而是用一个可触摸的垂直场景蛋糕预订、口味定制、配送时段选择强制学生把“请求怎么进来的”“数据怎么流出去的”“异常怎么兜住的”这三件事串成一条线。适合大三刚学完Servlet生命周期、还没碰Spring Boot的学生也适合想补全传统JavaWeb工程规范的转行者——因为所有代码都在web.xml里明写所有SQL都在DAO里手写所有跳转都靠RequestDispatcher显式控制没有自动装配没有约定优于配置只有最原始的“你写的每一行都得知道它在哪执行、被谁调用、出错往哪抛”。2. 从解压到跑通用Tomcat 9 MySQL 5.7 搭建最小可运行环境2.1 环境版本必须对齐——为什么不能用Tomcat 10或MySQL 8课程设计源码通常基于Java EE 7规范编写这意味着它依赖javax.servlet.*而非jakarta.servlet.*包。Tomcat 10默认使用Jakarta EE 9命名空间直接部署会报java.lang.NoClassDefFoundError: javax/servlet/Filter。同理MySQL 8默认启用caching_sha2_password认证插件而老版JDBC驱动如mysql-connector-java 5.1.47不支持该协议连接时抛出Access denied for user。正确组合是JDK 8u291 Tomcat 9.0.83 MySQL 5.7.42 mysql-connector-java 5.1.47.jar。验证方式解压后进入WEB-INF/lib/目录确认存在mysql-connector-java-5.1.47.jar打开web.xml检查web-app根节点是否声明version3.1对应Java EE 7。提示若已装MySQL 8可在安装时选择“Use Legacy Authentication Method”或修改用户密码插件ALTER USER rootlocalhost IDENTIFIED WITH mysql_native_password BY your_password;2.2 数据库初始化——三步完成建库、建表、插测试数据源码中sql/目录下通常包含cake_shop.sql文件但直接执行常因字符集失败。需按顺序操作# 1. 创建数据库并指定编码关键 mysql -u root -p -e CREATE DATABASE cake_shop CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; # 2. 执行建表语句注意路径替换为你的实际路径 mysql -u root -p cake_shop /path/to/your/unzipped/sql/cake_shop.sql # 3. 验证表结构重点看外键是否生效 mysql -u root -p -e USE cake_shop; SHOW CREATE TABLE t_order;执行后应看到类似输出CREATE TABLE t_order ( id int(11) NOT NULL AUTO_INCREMENT, user_id int(11) NOT NULL, total_price decimal(10,2) DEFAULT NULL, status varchar(20) DEFAULT NULL, PRIMARY KEY (id), KEY fk_user_id (user_id), CONSTRAINT fk_user_id FOREIGN KEY (user_id) REFERENCES t_user (id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;2.2.1 表字段设计背后的业务逻辑t_cake表中的is_customizable tinyint(1)字段值为1/0对应“是否支持个性化定制”t_order_item表里的custom_notes varchar(200)用于存储客户备注如“奶油换成低脂”“生日贺卡写XX名字”。这些字段不是随意添加的——它们决定了JSP页面上是否显示定制表单、Servlet中是否校验备注长度。若漏建t_order_item表购物车提交时会因INSERT INTO t_order_item失败而500错误但日志只报SQLException需查catalina.out定位具体SQL。2.3 Tomcat部署与启动调试将解压后的整个项目文件夹如cake-shop-web复制到$CATALINA_HOME/webapps/目录下不要重命名文件夹否则上下文路径错乱。启动Tomcat后访问http://localhost:8080/cake-shop-web/若出现404检查以下三点webapps/cake-shop-web/WEB-INF/web.xml是否存在且格式正确webapps/cake-shop-web/index.jsp是否为首页入口部分源码用login.jsp作欢迎页需手动访问/login.jsp查看logs/catalina.out末尾是否有SEVERE: Error filterStart——这表示某个Filter类路径错误常见于com.util.EncodingFilter未编译或包名不匹配。注意若启动时报java.lang.ClassNotFoundException: com.dao.UserDaoImpl说明WEB-INF/classes/下缺少编译后的.class文件。此时需用IDE如IntelliJ IDEA导入项目设置Artifacts为war exploded再通过IDE部署而非直接拷贝文件夹。3. 核心功能链路解析从用户登录到订单生成的7个关键节点3.1 登录流程——为什么Session验证要放在Filter而非Servlet源码中通常存在LoginFilter.java其doFilter()方法核心逻辑如下// java/com/filter/LoginFilter.java public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) throws IOException, ServletException { HttpServletRequest request (HttpServletRequest) req; HttpServletResponse response (HttpServletResponse) resp; // 白名单放行登录页、静态资源、登录接口 String uri request.getRequestURI(); if (uri.contains(/login.jsp) || uri.contains(/login) || uri.contains(.css) || uri.contains(.js)) { chain.doFilter(req, resp); return; } // 检查Session中是否存在user对象 HttpSession session request.getSession(false); if (session null || session.getAttribute(user) null) { response.sendRedirect(request.getContextPath() /login.jsp); return; } chain.doFilter(req, resp); }这段代码揭示了课程设计的关键教学点Filter是横切关注点的载体它比在每个Servlet里重复写if(sessionnull)更符合单一职责原则。但学生常犯的错误是在web.xml中Filter映射路径写成/*却忘了排除/login.jsp导致登录页无法加载——因为Filter拦截后发现无user又重定向回/login.jsp形成死循环。3.2 购物车实现——用Session还是数据库课程设计为何选前者t_cart表在数据库中存在但源码实际用HttpSession存储购物车数据// java/com/servlet/AddToCartServlet.java HttpSession session request.getSession(); ListCartItem cart (ListCartItem) session.getAttribute(cart); if (cart null) { cart new ArrayList(); session.setAttribute(cart, cart); } // ... 添加商品逻辑这种设计并非技术落后而是教学考量降低复杂度避免处理INSERT ON DUPLICATE KEY UPDATE等并发问题突出HTTP协议特性让学生直观感受Session生命周期关闭浏览器即清空为后续扩展埋点当需求变为“登录后购物车跨设备同步”自然引出数据库持久化改造。提示若需测试购物车持久性可在web.xml中设置session-configsession-timeout30/session-timeout/session-config然后等待30分钟再刷新页面观察cart是否为空。3.3 订单生成——事务边界在哪里为什么Service层必须用try-catch订单创建涉及三张表操作t_order主单、t_order_item明细、t_user扣余额。源码中OrderService.java典型实现// java/com/service/OrderService.java public boolean createOrder(Order order, ListOrderItem items) { Connection conn null; try { conn JdbcUtil.getConnection(); // 获取连接 conn.setAutoCommit(false); // 关键开启事务 // 1. 插入主订单 int orderId insertOrder(conn, order); // 2. 插入订单项 for (OrderItem item : items) { item.setOrderId(orderId); insertOrderItem(conn, item); } // 3. 更新用户余额假设预付款模式 updateUserBalance(conn, order.getUserId(), -order.getTotalPrice()); conn.commit(); // 全部成功才提交 return true; } catch (SQLException e) { if (conn ! null) { try { conn.rollback(); } catch (SQLException ex) {} } e.printStackTrace(); return false; } finally { JdbcUtil.closeConnection(conn); } }3.3.1 事务失效的三个高频陷阱陷阱类型表现修复方式Connection未复用每个DAO方法都调JdbcUtil.getConnection()导致事务跨连接失效所有DAO方法接收Connection参数由Service统一传入异常未捕获updateUserBalance()抛SQLException但未被catchconn.commit()仍执行必须用try-catch包裹全部操作且catch中必须rollback自动提交未关闭忘记conn.setAutoCommit(false)每条SQL单独提交在事务开始处显式关闭自动提交4. 课程设计级优化让系统从“能跑”变成“像生产环境”4.1 JSP页面安全加固——防XSS与CSRF的低成本方案课程设计源码的JSP常直接输出用户输入!-- 危险写法 -- input typetext value%request.getParameter(name)% /这会导致XSS攻击。无需引入Spring Security只需两步在web.xml中配置全局过滤器filter filter-nameXssFilter/filter-name filter-classcom.filter.XssFilter/filter-class /filter filter-mapping filter-nameXssFilter/filter-name url-pattern/*/url-pattern /filter-mappingXssFilter.java中对getParameter返回值做HTML转义public class XssFilter implements Filter { public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) throws IOException, ServletException { HttpServletRequest request (HttpServletRequest) req; XssHttpServletRequestWrapper wrapper new XssHttpServletRequestWrapper(request); chain.doFilter(wrapper, resp); } } // XssHttpServletRequestWrapper重写getParameter等方法内部调用StringEscapeUtils.escapeHtml4()提示Apache Commons Text 1.10提供StringEscapeUtils.escapeHtml4()比手写正则更可靠。将commons-text-1.10.0.jar放入WEB-INF/lib/即可。4.2 数据库连接池替换——从DBCP到HikariCP的平滑迁移源码多用BasicDataSourceApache Commons DBCP但该组件已停止维护。升级为HikariCP只需三步替换JAR包删除commons-dbcp-1.4.jar添加HikariCP-5.0.1.jar修改JdbcUtil.java的getConnection()方法private static HikariConfig config new HikariConfig(); static { config.setJdbcUrl(jdbc:mysql://localhost:3306/cake_shop?useSSLfalseserverTimezoneUTC); config.setUsername(root); config.setPassword(123456); config.setMaximumPoolSize(20); config.setMinimumIdle(5); config.setConnectionTimeout(30000); } private static HikariDataSource ds new HikariDataSource(config); public static Connection getConnection() throws SQLException { return ds.getConnection(); // 直接获取连接无需手动close }删除原closeConnection()方法——HikariCP要求调用connection.close()归还连接而非销毁。4.2.1 连接池参数调优对照表课程设计适用参数DBCP默认值HikariCP推荐值说明maxActive/maximumPoolSize810学生机并发量低10足够minIdle02避免连接数过少导致首次请求慢maxWait/connectionTimeout120000ms30000ms课程设计无高延迟SQL30秒超时更合理testOnBorrow/connectionTestQuerytrue SELECT 1自动检测HikariCP内置isValid()无需配置4.3 日志体系重构——用Log4j2替代System.out.println源码中大量System.out.println(debug: xxx)导致日志无法分级、无法输出到文件。替换为Log4j2WEB-INF/lib/添加log4j-api-2.20.0.jar和log4j-core-2.20.0.jarsrc/main/resources/log4j2.xml配置?xml version1.0 encodingUTF-8? Configuration statusWARN Appenders File nameFileAppender fileNamelogs/cake-shop.log PatternLayout pattern%d{HH:mm:ss.SSS} [%t] %-5level %logger{36} - %msg%n/ /File /Appenders Loggers Root levelinfo AppenderRef refFileAppender/ /Root /Loggers /ConfigurationDAO类中声明Loggerpublic class UserDaoImpl implements UserDao { private static final Logger logger LogManager.getLogger(UserDaoImpl.class); public User login(String username, String password) { logger.info(User login attempt: {}, username); // 结构化日志 // ... 业务逻辑 } }5. 验证与排错用5个命令定位90%的部署失败原因5.1 端口冲突检测——Tomcat启动失败的首要排查项执行netstat -ano | findstr :8080Windows或lsof -i :8080macOS/Linux若返回进程ID说明端口被占用。杀掉进程命令# Windows taskkill /PID PID /F # macOS/Linux kill -9 PID注意若netstat未找到8080但Tomcat仍启动失败检查conf/server.xml中Connector port8080是否被误改为其他值如8081或存在多个Connector标签。5.2 类加载路径验证——解决ClassNotFoundException的终极方法当报java.lang.ClassNotFoundException: com.dao.UserDaoImpl时不要盲目重编译。先确认类文件位置# 进入Tomcat webapps目录检查class文件是否存在 ls -R $CATALINA_HOME/webapps/cake-shop-web/WEB-INF/classes/com/dao/ # 应看到 UserDaoImpl.class 文件 # 若不存在检查源码是否在src/com/dao/下且IDE已编译输出到classes目录 # 或手动编译javac -d WEB-INF/classes src/com/dao/UserDaoImpl.java5.3 SQL执行跟踪——定位数据库操作失败的精准手段在JdbcUtil.getConnection()后添加日志public static Connection getConnection() throws SQLException { Connection conn dataSource.getConnection(); // 开启SQL日志仅开发环境 if (System.getProperty(env) ! null dev.equals(System.getProperty(env))) { conn new LoggingConnection(conn); // 自定义包装类打印所有executeUpdate/executeQuery } return conn; }自定义LoggingConnection只需重写prepareStatement(String sql)在构造时打印sql参数。这样每次插入订单时控制台会输出[DEBUG] SQL: INSERT INTO t_order (user_id,total_price,status) VALUES (?,?,?) [DEBUG] Parameters: [1, 298.00, unpaid]5.4 Session作用域验证——确认登录状态是否真正生效在任意JSP页面插入调试代码% HttpSession session request.getSession(false); out.print(Session ID: (session ! null ? session.getId() : null) br); out.print(User in session: session.getAttribute(user)); %若登录后仍显示null检查LoginServlet中是否调用了session.setAttribute(user, user)且重定向前未调用session.invalidate()。5.5 JSP编译错误定位——页面空白时的必查项JSP页面空白但无报错大概率是EL表达式语法错误。在web.xml中添加jsp-config jsp-property-group url-pattern*.jsp/url-pattern el-ignorefalse/el-ignore !-- 强制解析EL -- scripting-invalidfalse/scripting-invalid /jsp-property-group /jsp-config然后查看work/Catalina/localhost/cake-shop-web/org/apache/jsp/login_jsp.java搜索org.apache.jasper.JasperException相关行定位具体JSP行号。提示若work/目录下无login_jsp.java说明JSP未被Tomcat编译——检查web.xml中servlet是否配置了JspServlet或Tomcat版本与JSP规范不匹配如Tomcat 9需JSP 2.3。本文还有配套的精品资源点击获取 JavaWeb蛋糕店系统：三层架构实战与Tomcat9+MySQL5.7部署指南
简介本资源是一套完整可用的JavaWeb课程设计项目——蛋糕店网站系统源码面向计算机专业本科生及Java初学者适用于毕业设计、课程设计与期末大作业等实践场景解决Web应用开发中商品管理、订单处理与前后端交互等核心问题。压缩包共408个文件含55个Java业务逻辑类、58个JSP页面、110个编译后Class文件、20个XML配置文件及18个Jar依赖库辅以JS、CSS、图片JPG/PNG/GIF和SQL脚本结构清晰、模块完整22.02MB大小开箱即用。已有1739人学习下载项目经导师指导并获97分高分评价具备完整MVC分层结构从GoodsDao、OrderDao到AdminGoodsAddServlet等预览类名可见其覆盖商品增删改查、后台管理与订单流程等典型功能可直接部署运行是理解JavaWeb技术栈落地实践的优质参考案例。1. 这不是“做个网页”——JavaWeb蛋糕店系统本质是三层架构的落地训练场很多同学拿到“基于JavaWeb的蛋糕店网站系统源码课程设计”这个标题第一反应是不就是用JSPServlet搭个前台页面、连个MySQL查点商品但实际翻开源码压缩包会发现它卡在了课程设计最典型的断层上——有完整MVC分层结构却缺真实业务闭环有用户登录和购物车但订单状态流转不触发库存扣减数据库表建了5张外键约束和事务边界却没在Service层显式体现。这恰恰是高校JavaWeb教学的真实切口它不追求高并发或微服务而是用一个可触摸的垂直场景蛋糕预订、口味定制、配送时段选择强制学生把“请求怎么进来的”“数据怎么流出去的”“异常怎么兜住的”这三件事串成一条线。适合大三刚学完Servlet生命周期、还没碰Spring Boot的学生也适合想补全传统JavaWeb工程规范的转行者——因为所有代码都在web.xml里明写所有SQL都在DAO里手写所有跳转都靠RequestDispatcher显式控制没有自动装配没有约定优于配置只有最原始的“你写的每一行都得知道它在哪执行、被谁调用、出错往哪抛”。2. 从解压到跑通用Tomcat 9 MySQL 5.7 搭建最小可运行环境2.1 环境版本必须对齐——为什么不能用Tomcat 10或MySQL 8课程设计源码通常基于Java EE 7规范编写这意味着它依赖javax.servlet.*而非jakarta.servlet.*包。Tomcat 10默认使用Jakarta EE 9命名空间直接部署会报java.lang.NoClassDefFoundError: javax/servlet/Filter。同理MySQL 8默认启用caching_sha2_password认证插件而老版JDBC驱动如mysql-connector-java 5.1.47不支持该协议连接时抛出Access denied for user。正确组合是JDK 8u291 Tomcat 9.0.83 MySQL 5.7.42 mysql-connector-java 5.1.47.jar。验证方式解压后进入WEB-INF/lib/目录确认存在mysql-connector-java-5.1.47.jar打开web.xml检查web-app根节点是否声明version3.1对应Java EE 7。提示若已装MySQL 8可在安装时选择“Use Legacy Authentication Method”或修改用户密码插件ALTER USER rootlocalhost IDENTIFIED WITH mysql_native_password BY your_password;2.2 数据库初始化——三步完成建库、建表、插测试数据源码中sql/目录下通常包含cake_shop.sql文件但直接执行常因字符集失败。需按顺序操作# 1. 创建数据库并指定编码关键 mysql -u root -p -e CREATE DATABASE cake_shop CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; # 2. 执行建表语句注意路径替换为你的实际路径 mysql -u root -p cake_shop /path/to/your/unzipped/sql/cake_shop.sql # 3. 验证表结构重点看外键是否生效 mysql -u root -p -e USE cake_shop; SHOW CREATE TABLE t_order;执行后应看到类似输出CREATE TABLE t_order ( id int(11) NOT NULL AUTO_INCREMENT, user_id int(11) NOT NULL, total_price decimal(10,2) DEFAULT NULL, status varchar(20) DEFAULT NULL, PRIMARY KEY (id), KEY fk_user_id (user_id), CONSTRAINT fk_user_id FOREIGN KEY (user_id) REFERENCES t_user (id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;2.2.1 表字段设计背后的业务逻辑t_cake表中的is_customizable tinyint(1)字段值为1/0对应“是否支持个性化定制”t_order_item表里的custom_notes varchar(200)用于存储客户备注如“奶油换成低脂”“生日贺卡写XX名字”。这些字段不是随意添加的——它们决定了JSP页面上是否显示定制表单、Servlet中是否校验备注长度。若漏建t_order_item表购物车提交时会因INSERT INTO t_order_item失败而500错误但日志只报SQLException需查catalina.out定位具体SQL。2.3 Tomcat部署与启动调试将解压后的整个项目文件夹如cake-shop-web复制到$CATALINA_HOME/webapps/目录下不要重命名文件夹否则上下文路径错乱。启动Tomcat后访问http://localhost:8080/cake-shop-web/若出现404检查以下三点webapps/cake-shop-web/WEB-INF/web.xml是否存在且格式正确webapps/cake-shop-web/index.jsp是否为首页入口部分源码用login.jsp作欢迎页需手动访问/login.jsp查看logs/catalina.out末尾是否有SEVERE: Error filterStart——这表示某个Filter类路径错误常见于com.util.EncodingFilter未编译或包名不匹配。注意若启动时报java.lang.ClassNotFoundException: com.dao.UserDaoImpl说明WEB-INF/classes/下缺少编译后的.class文件。此时需用IDE如IntelliJ IDEA导入项目设置Artifacts为war exploded再通过IDE部署而非直接拷贝文件夹。3. 核心功能链路解析从用户登录到订单生成的7个关键节点3.1 登录流程——为什么Session验证要放在Filter而非Servlet源码中通常存在LoginFilter.java其doFilter()方法核心逻辑如下// java/com/filter/LoginFilter.java public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) throws IOException, ServletException { HttpServletRequest request (HttpServletRequest) req; HttpServletResponse response (HttpServletResponse) resp; // 白名单放行登录页、静态资源、登录接口 String uri request.getRequestURI(); if (uri.contains(/login.jsp) || uri.contains(/login) || uri.contains(.css) || uri.contains(.js)) { chain.doFilter(req, resp); return; } // 检查Session中是否存在user对象 HttpSession session request.getSession(false); if (session null || session.getAttribute(user) null) { response.sendRedirect(request.getContextPath() /login.jsp); return; } chain.doFilter(req, resp); }这段代码揭示了课程设计的关键教学点Filter是横切关注点的载体它比在每个Servlet里重复写if(sessionnull)更符合单一职责原则。但学生常犯的错误是在web.xml中Filter映射路径写成/*却忘了排除/login.jsp导致登录页无法加载——因为Filter拦截后发现无user又重定向回/login.jsp形成死循环。3.2 购物车实现——用Session还是数据库课程设计为何选前者t_cart表在数据库中存在但源码实际用HttpSession存储购物车数据// java/com/servlet/AddToCartServlet.java HttpSession session request.getSession(); ListCartItem cart (ListCartItem) session.getAttribute(cart); if (cart null) { cart new ArrayList(); session.setAttribute(cart, cart); } // ... 添加商品逻辑这种设计并非技术落后而是教学考量降低复杂度避免处理INSERT ON DUPLICATE KEY UPDATE等并发问题突出HTTP协议特性让学生直观感受Session生命周期关闭浏览器即清空为后续扩展埋点当需求变为“登录后购物车跨设备同步”自然引出数据库持久化改造。提示若需测试购物车持久性可在web.xml中设置session-configsession-timeout30/session-timeout/session-config然后等待30分钟再刷新页面观察cart是否为空。3.3 订单生成——事务边界在哪里为什么Service层必须用try-catch订单创建涉及三张表操作t_order主单、t_order_item明细、t_user扣余额。源码中OrderService.java典型实现// java/com/service/OrderService.java public boolean createOrder(Order order, ListOrderItem items) { Connection conn null; try { conn JdbcUtil.getConnection(); // 获取连接 conn.setAutoCommit(false); // 关键开启事务 // 1. 插入主订单 int orderId insertOrder(conn, order); // 2. 插入订单项 for (OrderItem item : items) { item.setOrderId(orderId); insertOrderItem(conn, item); } // 3. 更新用户余额假设预付款模式 updateUserBalance(conn, order.getUserId(), -order.getTotalPrice()); conn.commit(); // 全部成功才提交 return true; } catch (SQLException e) { if (conn ! null) { try { conn.rollback(); } catch (SQLException ex) {} } e.printStackTrace(); return false; } finally { JdbcUtil.closeConnection(conn); } }3.3.1 事务失效的三个高频陷阱陷阱类型表现修复方式Connection未复用每个DAO方法都调JdbcUtil.getConnection()导致事务跨连接失效所有DAO方法接收Connection参数由Service统一传入异常未捕获updateUserBalance()抛SQLException但未被catchconn.commit()仍执行必须用try-catch包裹全部操作且catch中必须rollback自动提交未关闭忘记conn.setAutoCommit(false)每条SQL单独提交在事务开始处显式关闭自动提交4. 课程设计级优化让系统从“能跑”变成“像生产环境”4.1 JSP页面安全加固——防XSS与CSRF的低成本方案课程设计源码的JSP常直接输出用户输入!-- 危险写法 -- input typetext value%request.getParameter(name)% /这会导致XSS攻击。无需引入Spring Security只需两步在web.xml中配置全局过滤器filter filter-nameXssFilter/filter-name filter-classcom.filter.XssFilter/filter-class /filter filter-mapping filter-nameXssFilter/filter-name url-pattern/*/url-pattern /filter-mappingXssFilter.java中对getParameter返回值做HTML转义public class XssFilter implements Filter { public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) throws IOException, ServletException { HttpServletRequest request (HttpServletRequest) req; XssHttpServletRequestWrapper wrapper new XssHttpServletRequestWrapper(request); chain.doFilter(wrapper, resp); } } // XssHttpServletRequestWrapper重写getParameter等方法内部调用StringEscapeUtils.escapeHtml4()提示Apache Commons Text 1.10提供StringEscapeUtils.escapeHtml4()比手写正则更可靠。将commons-text-1.10.0.jar放入WEB-INF/lib/即可。4.2 数据库连接池替换——从DBCP到HikariCP的平滑迁移源码多用BasicDataSourceApache Commons DBCP但该组件已停止维护。升级为HikariCP只需三步替换JAR包删除commons-dbcp-1.4.jar添加HikariCP-5.0.1.jar修改JdbcUtil.java的getConnection()方法private static HikariConfig config new HikariConfig(); static { config.setJdbcUrl(jdbc:mysql://localhost:3306/cake_shop?useSSLfalseserverTimezoneUTC); config.setUsername(root); config.setPassword(123456); config.setMaximumPoolSize(20); config.setMinimumIdle(5); config.setConnectionTimeout(30000); } private static HikariDataSource ds new HikariDataSource(config); public static Connection getConnection() throws SQLException { return ds.getConnection(); // 直接获取连接无需手动close }删除原closeConnection()方法——HikariCP要求调用connection.close()归还连接而非销毁。4.2.1 连接池参数调优对照表课程设计适用参数DBCP默认值HikariCP推荐值说明maxActive/maximumPoolSize810学生机并发量低10足够minIdle02避免连接数过少导致首次请求慢maxWait/connectionTimeout120000ms30000ms课程设计无高延迟SQL30秒超时更合理testOnBorrow/connectionTestQuerytrue SELECT 1自动检测HikariCP内置isValid()无需配置4.3 日志体系重构——用Log4j2替代System.out.println源码中大量System.out.println(debug: xxx)导致日志无法分级、无法输出到文件。替换为Log4j2WEB-INF/lib/添加log4j-api-2.20.0.jar和log4j-core-2.20.0.jarsrc/main/resources/log4j2.xml配置?xml version1.0 encodingUTF-8? Configuration statusWARN Appenders File nameFileAppender fileNamelogs/cake-shop.log PatternLayout pattern%d{HH:mm:ss.SSS} [%t] %-5level %logger{36} - %msg%n/ /File /Appenders Loggers Root levelinfo AppenderRef refFileAppender/ /Root /Loggers /ConfigurationDAO类中声明Loggerpublic class UserDaoImpl implements UserDao { private static final Logger logger LogManager.getLogger(UserDaoImpl.class); public User login(String username, String password) { logger.info(User login attempt: {}, username); // 结构化日志 // ... 业务逻辑 } }5. 验证与排错用5个命令定位90%的部署失败原因5.1 端口冲突检测——Tomcat启动失败的首要排查项执行netstat -ano | findstr :8080Windows或lsof -i :8080macOS/Linux若返回进程ID说明端口被占用。杀掉进程命令# Windows taskkill /PID PID /F # macOS/Linux kill -9 PID注意若netstat未找到8080但Tomcat仍启动失败检查conf/server.xml中Connector port8080是否被误改为其他值如8081或存在多个Connector标签。5.2 类加载路径验证——解决ClassNotFoundException的终极方法当报java.lang.ClassNotFoundException: com.dao.UserDaoImpl时不要盲目重编译。先确认类文件位置# 进入Tomcat webapps目录检查class文件是否存在 ls -R $CATALINA_HOME/webapps/cake-shop-web/WEB-INF/classes/com/dao/ # 应看到 UserDaoImpl.class 文件 # 若不存在检查源码是否在src/com/dao/下且IDE已编译输出到classes目录 # 或手动编译javac -d WEB-INF/classes src/com/dao/UserDaoImpl.java5.3 SQL执行跟踪——定位数据库操作失败的精准手段在JdbcUtil.getConnection()后添加日志public static Connection getConnection() throws SQLException { Connection conn dataSource.getConnection(); // 开启SQL日志仅开发环境 if (System.getProperty(env) ! null dev.equals(System.getProperty(env))) { conn new LoggingConnection(conn); // 自定义包装类打印所有executeUpdate/executeQuery } return conn; }自定义LoggingConnection只需重写prepareStatement(String sql)在构造时打印sql参数。这样每次插入订单时控制台会输出[DEBUG] SQL: INSERT INTO t_order (user_id,total_price,status) VALUES (?,?,?) [DEBUG] Parameters: [1, 298.00, unpaid]5.4 Session作用域验证——确认登录状态是否真正生效在任意JSP页面插入调试代码% HttpSession session request.getSession(false); out.print(Session ID: (session ! null ? session.getId() : null) br); out.print(User in session: session.getAttribute(user)); %若登录后仍显示null检查LoginServlet中是否调用了session.setAttribute(user, user)且重定向前未调用session.invalidate()。5.5 JSP编译错误定位——页面空白时的必查项JSP页面空白但无报错大概率是EL表达式语法错误。在web.xml中添加jsp-config jsp-property-group url-pattern*.jsp/url-pattern el-ignorefalse/el-ignore !-- 强制解析EL -- scripting-invalidfalse/scripting-invalid /jsp-property-group /jsp-config然后查看work/Catalina/localhost/cake-shop-web/org/apache/jsp/login_jsp.java搜索org.apache.jasper.JasperException相关行定位具体JSP行号。提示若work/目录下无login_jsp.java说明JSP未被Tomcat编译——检查web.xml中servlet是否配置了JspServlet或Tomcat版本与JSP规范不匹配如Tomcat 9需JSP 2.3。本文还有配套的精品资源点击获取