简介这份毕业设计论文文档围绕SSM高校学生社团管理系统展开面向计算机相关专业的本科与高职毕业生以及需要完成课程设计、论文答辩的学生开发者可用于毕业设计选题参考、论文写作借鉴与技术方案学习。资源包共1个docx文件大小约4.24MB内容为完整的毕业论文正文涵盖摘要、系统设计、功能实现与测试总结等章节。论文所描述的系统采用B/S结构与Spring、SpringMVC、MyBatis整合框架以MySQL为数据库、Eclipse为开发工具划分管理员、社长、学生与教师四类角色涉及轮播图管理、社团信息与活动组织、风采展示、教室借用、人员维护、公告发布及学生反馈等模块并给出测试阶段对程序逻辑与代码的改进思路。目前已有73人学习参考适合需要了解社团管理系统整体架构、模块划分与论文撰写框架的读者可据此梳理功能清单、数据库设计和答辩要点。1. 从手工台账到 SSM 社团管理系统这套毕业设计到底解决什么问题接手这套 SSM 高校学生社团管理系统时最先卡住的不是代码而是角色。管理员、社长、教师、学生四种身份对着同一张社团信息表能看的字段、能点的按钮完全不同。传统做法是给社团建一份 Excel 台账社长找指导老师签字老师再向教务处报备教室一个学期下来活动记录散在五个人的聊天记录里换届时资料就断档了。这套系统的价值在于把社团信息、社团活动、社团风采、教室借用、社团人员、社团公告和学生反馈收进一个 B/S 后台浏览器打开就能查、能改、能审、能留痕。它适合三类人正在做 Java Web 方向毕业设计、需要一套跑通 Spring SpringMVC MyBatis 全链路练手项目的人刚接手校园信息化维护、想照抄一套权限模型的开发者以及想把社团流程从纸面搬到线上的社团指导老师。下面按我拆源码的顺序从框架骨架、表结构、CRUD 到审核流和部署验证一步步展开。2. SSM 三层骨架与四角色权限模型怎么搭SSM 不是三个框架简单叠加而是把「对象管理、请求分发、数据持久」三件事切开各自只做一段。很多同学装好依赖就急着写 Controller结果事务不生效、Mapper 注入报空、页面 404回过头才发现是配置分层没理清。这一章先把骨架立住再谈四种角色怎么被区隔开。2.1 Spring、SpringMVC、MyBatis 各自负责哪一段Spring 管的是对象生命周期和横切逻辑IoC 容器负责 new 出 Service、DAOAOP 负责把事务织进 Service 方法SpringMVC 站在最前面DispatcherServlet 收请求按RequestMapping找到对应 Controller再返回视图或 JSONMyBatis 落在最底层把 Mapper 接口和 XML 里的 SQL 绑定起来替掉手写 JDBC 的样板代码。Web 层的入口通常这么配!-- web.xmlSpringMVC 前端控制器与 Spring 容器的装配 -- servlet servlet-namedispatcher/servlet-name servlet-classorg.springframework.web.servlet.DispatcherServlet/servlet-class !-- contextConfigLocation 指向 SpringMVC 自己的配置不加载 Service/DAO -- init-param param-namecontextConfigLocation/param-name param-valueclasspath:spring-mvc.xml/param-value /init-param load-on-startup1/load-on-startup /servlet servlet-mapping servlet-namedispatcher/servlet-name url-pattern//url-pattern /servlet-mapping !-- ContextLoaderListener 负责加载 Service、DAO、数据源只加载一次 -- listener listener-classorg.springframework.web.context.ContextLoaderListener/listener-class /listener context-param param-namecontextConfigLocation/param-name param-valueclasspath:spring-mybatis.xml/param-value /context-param !-- 字符编码过滤器必须放在最前否则社团公告里的中文会乱码 -- filter filter-nameencoding/filter-name filter-classorg.springframework.web.filter.CharacterEncodingFilter/filter-class init-paramparam-nameencoding/param-nameparam-valueUTF-8/param-value/init-param init-paramparam-nameforceEncoding/param-nameparam-valuetrue/param-value/init-param /filter这里的坑点集中在两个地方。第一dispatcher的contextConfigLocation只能扫Controller父容器只扫Service、Repository两边的component-scan往往写成!-- spring-mvc.xml -- context:component-scan base-packagecom.club.controller/ !-- spring-mybatis.xml -- context:component-scan base-packagecom.club.service,com.club.dao/如果不这样拆Controller 会被父容器也扫一遍事务代理和 MVC 映射都会出问题。第二use-default-filtersfalse配合include-filter是更严格的写法避免Controller漏到父容器。数据源和 MyBatis 的装配放一起!-- spring-mybatis.xml -- bean iddataSource classcom.alibaba.druid.pool.DruidDataSource property namedriverClassName valuecom.mysql.cj.jdbc.Driver/ property nameurl valuejdbc:mysql://127.0.0.1:3306/club_db?useUnicodetrueamp;characterEncodingutf8amp;serverTimezoneAsia/Shanghai/ property nameusername valueroot/ property namepassword value123456/ !-- 连接池参数按并发量调毕设场景 initialSize5、maxActive20 足够 -- property nameinitialSize value5/ property namemaxActive value20/ /bean bean idsqlSessionFactory classorg.mybatis.spring.SqlSessionFactoryBean property namedataSource refdataSource/ property namemapperLocations valueclasspath:mapper/*.xml/ property nametypeAliasesPackage valuecom.club.entity/ property nameplugins array !-- PageHelper 分页插件社团信息列表靠它 -- bean classcom.github.pagehelper.PageInterceptor property nameproperties valuehelperDialectmysql/value /property /bean /array /property /bean !-- MapperScannerConfigurer 把接口批量注册成 Bean不用一个个写 -- bean classorg.mybatis.spring.mapper.MapperScannerConfigurer property namebasePackage valuecom.club.dao/ property namesqlSessionFactoryBeanName valuesqlSessionFactory/ /beanserverTimezoneAsia/Shanghai不加社团活动的开始时间会差 8 小时useUnicode和characterEncoding不加社团公告的中文存进去就是问号。2.2 四类角色的权限边界与登录拦截器系统把用户切成管理员、社长、教师、学生四类。与其在每个 Controller 里写 if 判断角色不如统一交给 SpringMVC 拦截器。角色按菜单维度划权角色可写模块只读/审核模块数据范围管理员全部用户、轮播图、类型、社团信息、活动、风采、教室借用、公告反馈回复全校数据社长用户社团信息、社团活动、社团风采、教室借用申请、社团人员、社团公告教师审核结果本人所属社团教师用户无社团信息、社团活动、教室借用审核所指导的社团学生用户个人资料、学生反馈社团信息、活动、风采、公告全校公开数据拦截器的核心逻辑是「先看登录态再看角色白名单」public class AuthInterceptor implements HandlerInterceptor { // 免登录白名单登录页、验证码、静态资源 private static final String[] WHITE {/login, /captcha, /static/}; Override public boolean preHandle(HttpServletRequest req, HttpServletResponse resp, Object handler) throws Exception { String uri req.getRequestURI(); for (String w : WHITE) { if (uri.startsWith(w)) return true; } // 关键session 里存的不是简单 boolean而是带角色的用户对象 Object user req.getSession().getAttribute(LOGIN_USER); if (user null) { resp.sendRedirect(req.getContextPath() /login); return false; } // 角色白名单拦截教师端不允许写社团信息 String role ((UserVO) user).getRole(); if (uri.startsWith(/club/audit) !teacher.equals(role) !admin.equals(role)) { resp.setStatus(403); resp.getWriter().write({\code\:403,\msg\:\无权审核\}); return false; } return true; } }preHandle返回false就直接截断请求链不会再进 Controller。注意区分重定向页面跳转和直接写 JSON前后端分离接口Element UI 前端拿到 403 需要弹提示不能傻跳登录页。2.3 从 E-R 图落到物理表E-R 图里的实体主要有管理员、社长用户、教师用户、学生用户、社团信息、社团活动、社团风采、教室借用、社团人员、社团公告、学生反馈外加一张access_token表。实体的关系是一个社长管理一个社团1:1一个社团有多个成员1:n一个社团有多个活动1:n一个社长可以提交多条教室借用申请1:n教师审核这些申请。access_token表容易被忽略它是登录会话的落库版本字段类型长度允许空说明token_idint10否令牌主键tokenvarchar64是临时访问牌infotext65535是附加信息用户 ID、角色maxageint10否最大寿命默认 2 小时create_timetimestamp19否创建时间默认当前时间把 token 落库而不是只放 session好处是服务重启后会话还能校验也方便做「他在哪里登录过」的排查。社团信息表通常会带audit_status0 待审、1 通过、2 驳回和teacher_id这是后文审核流的基础字段。3. 社团信息、活动、教室借用的 CRUD 落地权限骨架搭好之后真正占代码量的是增删改查。这套系统里社团信息、社团活动、教室借用三块结构相似都是「列表 条件检索 新增/编辑弹窗 删除」。把其中一块写透另外两块就是复制粘贴改字段。3.1 实体类与表字段的映射规范先看社团信息表的核心字段怎么对应 Java 实体数据库字段Java 字段类型说明club_idclubIdInteger社团主键自增club_nameclubNameString社团名称club_typeclubTypeString社团类型关联类型管理president_idpresidentIdInteger社长用户 IDmember_countmemberCountInteger社团人数club_honorclubHonorString社团荣誉audit_statusauditStatusInteger0 待审 / 1 通过 / 2 驳回cover_imgcoverImgString封面图片路径命名要统一按驼峰转下划线mybatis-config.xml里打开mapUnderscoreToCamelCasetrue能省掉大量result映射。别一边用驼峰一边在 XML 里手写resultMap字段一多必然对不上。3.2 Mapper XML 与动态 SQL 条件检索社团列表页一般带三个检索条件社团名称模糊查、类型下拉筛选、审核状态筛选。全写成 if 拼接就是 MyBatis 的whereif组合select idselectClubPage resultTypecom.club.entity.ClubInfo SELECT club_id, club_name, club_type, president_id, member_count, club_honor, audit_status, cover_img FROM club_info where !-- 逻辑删除标记查列表永远带这一条 -- is_deleted 0 if testclubName ! null and clubName ! AND club_name LIKE CONCAT(%, #{clubName}, %) /if if testclubType ! null and clubType ! AND club_type #{clubType} /if if testauditStatus ! null AND audit_status #{auditStatus} /if !-- 社长只能看自己的社团管理员不传 presidentId 就不加这个条件 -- if testpresidentId ! null AND president_id #{presidentId} /if /where ORDER BY create_time DESC /select这里的逻辑是where会自动去掉开头多余的AND不用手写WHERE 11。参数上的#{}是预编译占位符能防注入如果哪天想按字段名动态排序那种必须用${}的地方一定要在 Java 侧用枚举白名单校验字段名不能直接把前端传的字符串拼进去。分页配合 PageHelper 只写一行// Service 层调用前紧跟查询方法PageHelper 只对第一条 SQL 生效 public PageInfoClubInfo page(Integer pageNum, Integer pageSize, ClubQuery query) { PageHelper.startPage(pageNum, pageSize); ListClubInfo list clubMapper.selectClubPage(query); return new PageInfo(list); }pageNum从 1 开始pageSize传 0 会触发 PageHelper 查全部线上要限制上限比如最大 100。PageInfo返回的total才是分页组件要的总条数。3.3 新增、修改要盯住的三件事新增社团信息时社长用户提交后audit_status必须强制置 0不能信任前端传值否则有人改个参数就绕过审核。做法是在 Service 里显式覆盖// 新增无论前端传什么状态一律重置为待审核 club.setAuditStatus(0); club.setPresidentId(loginUser.getId()); club.setCreateTime(new Date()); clubMapper.insert(club);修改接口则要防越权先按主键查原记录比对presidentId是否等于当前登录用户管理员放行其他人直接拒绝。删除用逻辑删除is_deleted 1而不是物理DELETE换届后还能追溯历史数据。教室借用的表结构多三个字段borrow_date借用日期、borrow_remark借用备注、audit_status审核状态CRUD 逻辑和社团信息同构只是审核人换成教师。4. 审核流、反馈与状态机社长提交、教师审核的实战社团信息和教室借用都牵扯「提交—审核」两方这是整套系统里最容易出并发问题的地方。一个社团被教师点通过的同时社长又点了一次编辑提交状态就乱了。把状态机显式定义出来再配合乐观锁或条件更新问题基本能压住。4.1 三态审核模型与状态迁移规则审核状态统一定义为三态四类角色只能触发允许的迁移当前状态允许操作触发角色目标状态0 待审核提交审核社长/教师提交00 待审核通过教师、管理员1 已通过0 待审核驳回教师、管理员2 已驳回2 已驳回修改后重新提交社长0 待审核1 已通过撤回管理员0 待审核驳回状态必须允许社长修改后重新提交否则被驳回一次就等于作废实际使用中老师会投诉。迁移逻辑集中写在一个方法里// 审核用条件更新防止并发覆盖WHERE 带上原状态 public int audit(Integer clubId, Integer targetStatus, Integer auditorId) { if (targetStatus ! 1 targetStatus ! 2) { throw new IllegalArgumentException(非法审核状态); } ClubInfo update new ClubInfo(); update.setClubId(clubId); update.setAuditStatus(targetStatus); update.setAuditorId(auditorId); update.setAuditTime(new Date()); // 关键只更新 audit_status 0 的记录返回 0 说明已被别人审过 int rows clubMapper.auditWithStatusCheck(update); if (rows 0) { throw new IllegalStateException(该记录已被审核请刷新后重试); } return rows; }对应 SQL 里WHERE club_id #{clubId} AND audit_status 0这就是最朴素的乐观锁。返回影响行数为 0前端提示「已被审核」用户刷新即可比加分布式锁简单得多。4.2 审核与事务边界教师通过一个教室借用申请往往要同时做两件事改申请状态、写一条审核日志。这两步必须在一个事务里否则改了状态没写日志排查时无从下手。事务加在 Service 方法上// Service 方法上加事务传播行为默认 REQUIRED Transactional(rollbackFor Exception.class) public void approveBorrow(Integer borrowId, Integer auditorId) { int rows borrowMapper.updateStatus(borrowId, 1, auditorId); if (rows 0) { // 抛运行时异常才能触发回滚被 catch 掉就白写了 throw new IllegalStateException(申请状态已变更); } auditLogMapper.insert(new AuditLog(borrow, borrowId, auditorId, pass)); }两个常见错误一是自己try-catch把异常吞了事务不回滚二是把Transactional加在 Controller 上Controller 不经过 Spring 代理注解无效。事务只加在 Service 层且方法必须是 public。4.3 反馈、公告与消息联动学生反馈模块是「学生提交—管理员回复」的单向流字段包含feedback_content、reply_content、reply_time。公告模块本质是带置顶和有效期的富文本管理员和社长都能发区别是社长只能发本社团公告。两个模块之间可以做个联动管理员回复反馈后顺手往公告表插一条已回复提示或者用站内消息表推送避免学生反复刷新页面看回复。用户管理模块的删除接口要连带处理关联数据删社长账号前先确认其名下社团是否已移交否则社团信息的president_id会指向一个不存在的用户列表页显示空社长。4.4 联调阶段高频报错与定位现象常见原因定位手段社团公告中文乱码缺字符编码过滤器或数据库连接串没带 utf8查characterEncoding和表字符集Mapper 注入为 null接口没被 MapperScannerConfigurer 扫到看 basePackage 路径大小写分页 total 恒为 0PageHelper 没紧跟查询方法确认startPage与查询相邻时间差 8 小时连接串缺serverTimezone补Asia/Shanghai403 但用户已登录拦截器路径匹配写错打印req.getRequestURI()列表页一次查 20 条社团每条又要查社长姓名、类型名称就会触发 N1 查询。常见做法是在 Mapper 里用LEFT JOIN把社长昵称和类型名一次带出来别在循环里调单条查询。5. 部署验证与压力自测把毕业设计跑成可交付系统代码写完只是开始答辩前最怕的是演示现场 404 或者数据串了。上线前按下面的顺序做一遍可交付验证能挡掉八成现场事故。5.1 从零初始化数据库与部署包先建库建表再灌一份种子数据验证空库到有数据的完整路径# 1. 建库并导入表结构字符集必须显式指定 mysql -uroot -p123456 -e CREATE DATABASE club_db DEFAULT CHARSET utf8mb4 COLLATE utf8mb4_general_ci; mysql -uroot -p123456 club_db sql/club_db.sql # 2. 灌入管理员和测试账号密码用明文占位一条其余走加密 mysql -uroot -p123456 club_db -e INSERT INTO sys_user(username, password, role) VALUES(admin,123456,admin); # 3. Maven 打包注意跳过测试前先确认测试类不会连生产库 mvn clean package -DskipTests # 4. 部署到 Tomcat检查 war 是否解压成功 cp target/club.war $TOMCAT_HOME/webapps/ $TOMCAT_HOME/bin/startup.sh tail -f $TOMCAT_HOME/logs/catalina.out打包时常见的坑是pom.xml里 MySQL 驱动作用域写成providedTomcat 里没这个 jar启动直接ClassNotFoundException。改成默认 compile 作用域让它打进WEB-INF/lib。启动日志里如果能打印出数据源初始化和 Mapper 注册条数说明 Spring 容器起来了。5.2 用接口脚本验证四角色权限闭环手工点页面容易漏写个脚本把四种角色的关键接口都过一遍比点一遍页面可靠# 管理员登录后应能删社团社长登录后删同一个社团应返回 403 curl -c admin.txt -d usernameadminpassword123456 http://127.0.0.1:8080/club/login curl -b admin.txt -X POST http://127.0.0.1:8080/club/club/delete?id1 curl -c shezhang.txt -d usernamesz001password123456 http://127.0.0.1:8080/club/login curl -b shezhang.txt -o /dev/null -w %{http_code}\n -X POST http://127.0.0.1:8080/club/club/delete?id1 # 期望输出 403若返回 200说明拦截器白名单或角色判断写漏了重点验证三条线越权删除是否被拦、教师审核后状态是否落库、社长被驳回后能否重新提交。三条都通过权限模型就没有结构性漏洞。5.3 用 JMeter 摸一下登录接口的承接能力毕设系统不需要高并发但答辩老师问「能扛多少人同时登录」时有个数字比空口说强。用 JMeter 建一个线程组50 个并发循环 10 次打登录接口观察平均响应和错误率并发数平均响应错误率结论20180 ms0%常态使用无压力50620 ms0.8%连接池 maxActive 偏小1002.1 s6.5%需要调连接池并加缓存50 并发出现错误时把 Druid 的maxActive从 20 提到 50再加maxWait3000错误率能压下去。登录接口反复查用户表可以给用户查询加一级本地缓存命中后不再走数据库。测完记得清掉压测产生的脏数据别把测试账号和假社团留在演示库里。最后一条经验答辩前把数据库导出留一份备份演示环境当场崩了能五分钟恢复。本文还有配套的精品资源点击获取 基于SSM的高校社团管理系统：权限、CRUD与审核流实战
简介这份毕业设计论文文档围绕SSM高校学生社团管理系统展开面向计算机相关专业的本科与高职毕业生以及需要完成课程设计、论文答辩的学生开发者可用于毕业设计选题参考、论文写作借鉴与技术方案学习。资源包共1个docx文件大小约4.24MB内容为完整的毕业论文正文涵盖摘要、系统设计、功能实现与测试总结等章节。论文所描述的系统采用B/S结构与Spring、SpringMVC、MyBatis整合框架以MySQL为数据库、Eclipse为开发工具划分管理员、社长、学生与教师四类角色涉及轮播图管理、社团信息与活动组织、风采展示、教室借用、人员维护、公告发布及学生反馈等模块并给出测试阶段对程序逻辑与代码的改进思路。目前已有73人学习参考适合需要了解社团管理系统整体架构、模块划分与论文撰写框架的读者可据此梳理功能清单、数据库设计和答辩要点。1. 从手工台账到 SSM 社团管理系统这套毕业设计到底解决什么问题接手这套 SSM 高校学生社团管理系统时最先卡住的不是代码而是角色。管理员、社长、教师、学生四种身份对着同一张社团信息表能看的字段、能点的按钮完全不同。传统做法是给社团建一份 Excel 台账社长找指导老师签字老师再向教务处报备教室一个学期下来活动记录散在五个人的聊天记录里换届时资料就断档了。这套系统的价值在于把社团信息、社团活动、社团风采、教室借用、社团人员、社团公告和学生反馈收进一个 B/S 后台浏览器打开就能查、能改、能审、能留痕。它适合三类人正在做 Java Web 方向毕业设计、需要一套跑通 Spring SpringMVC MyBatis 全链路练手项目的人刚接手校园信息化维护、想照抄一套权限模型的开发者以及想把社团流程从纸面搬到线上的社团指导老师。下面按我拆源码的顺序从框架骨架、表结构、CRUD 到审核流和部署验证一步步展开。2. SSM 三层骨架与四角色权限模型怎么搭SSM 不是三个框架简单叠加而是把「对象管理、请求分发、数据持久」三件事切开各自只做一段。很多同学装好依赖就急着写 Controller结果事务不生效、Mapper 注入报空、页面 404回过头才发现是配置分层没理清。这一章先把骨架立住再谈四种角色怎么被区隔开。2.1 Spring、SpringMVC、MyBatis 各自负责哪一段Spring 管的是对象生命周期和横切逻辑IoC 容器负责 new 出 Service、DAOAOP 负责把事务织进 Service 方法SpringMVC 站在最前面DispatcherServlet 收请求按RequestMapping找到对应 Controller再返回视图或 JSONMyBatis 落在最底层把 Mapper 接口和 XML 里的 SQL 绑定起来替掉手写 JDBC 的样板代码。Web 层的入口通常这么配!-- web.xmlSpringMVC 前端控制器与 Spring 容器的装配 -- servlet servlet-namedispatcher/servlet-name servlet-classorg.springframework.web.servlet.DispatcherServlet/servlet-class !-- contextConfigLocation 指向 SpringMVC 自己的配置不加载 Service/DAO -- init-param param-namecontextConfigLocation/param-name param-valueclasspath:spring-mvc.xml/param-value /init-param load-on-startup1/load-on-startup /servlet servlet-mapping servlet-namedispatcher/servlet-name url-pattern//url-pattern /servlet-mapping !-- ContextLoaderListener 负责加载 Service、DAO、数据源只加载一次 -- listener listener-classorg.springframework.web.context.ContextLoaderListener/listener-class /listener context-param param-namecontextConfigLocation/param-name param-valueclasspath:spring-mybatis.xml/param-value /context-param !-- 字符编码过滤器必须放在最前否则社团公告里的中文会乱码 -- filter filter-nameencoding/filter-name filter-classorg.springframework.web.filter.CharacterEncodingFilter/filter-class init-paramparam-nameencoding/param-nameparam-valueUTF-8/param-value/init-param init-paramparam-nameforceEncoding/param-nameparam-valuetrue/param-value/init-param /filter这里的坑点集中在两个地方。第一dispatcher的contextConfigLocation只能扫Controller父容器只扫Service、Repository两边的component-scan往往写成!-- spring-mvc.xml -- context:component-scan base-packagecom.club.controller/ !-- spring-mybatis.xml -- context:component-scan base-packagecom.club.service,com.club.dao/如果不这样拆Controller 会被父容器也扫一遍事务代理和 MVC 映射都会出问题。第二use-default-filtersfalse配合include-filter是更严格的写法避免Controller漏到父容器。数据源和 MyBatis 的装配放一起!-- spring-mybatis.xml -- bean iddataSource classcom.alibaba.druid.pool.DruidDataSource property namedriverClassName valuecom.mysql.cj.jdbc.Driver/ property nameurl valuejdbc:mysql://127.0.0.1:3306/club_db?useUnicodetrueamp;characterEncodingutf8amp;serverTimezoneAsia/Shanghai/ property nameusername valueroot/ property namepassword value123456/ !-- 连接池参数按并发量调毕设场景 initialSize5、maxActive20 足够 -- property nameinitialSize value5/ property namemaxActive value20/ /bean bean idsqlSessionFactory classorg.mybatis.spring.SqlSessionFactoryBean property namedataSource refdataSource/ property namemapperLocations valueclasspath:mapper/*.xml/ property nametypeAliasesPackage valuecom.club.entity/ property nameplugins array !-- PageHelper 分页插件社团信息列表靠它 -- bean classcom.github.pagehelper.PageInterceptor property nameproperties valuehelperDialectmysql/value /property /bean /array /property /bean !-- MapperScannerConfigurer 把接口批量注册成 Bean不用一个个写 -- bean classorg.mybatis.spring.mapper.MapperScannerConfigurer property namebasePackage valuecom.club.dao/ property namesqlSessionFactoryBeanName valuesqlSessionFactory/ /beanserverTimezoneAsia/Shanghai不加社团活动的开始时间会差 8 小时useUnicode和characterEncoding不加社团公告的中文存进去就是问号。2.2 四类角色的权限边界与登录拦截器系统把用户切成管理员、社长、教师、学生四类。与其在每个 Controller 里写 if 判断角色不如统一交给 SpringMVC 拦截器。角色按菜单维度划权角色可写模块只读/审核模块数据范围管理员全部用户、轮播图、类型、社团信息、活动、风采、教室借用、公告反馈回复全校数据社长用户社团信息、社团活动、社团风采、教室借用申请、社团人员、社团公告教师审核结果本人所属社团教师用户无社团信息、社团活动、教室借用审核所指导的社团学生用户个人资料、学生反馈社团信息、活动、风采、公告全校公开数据拦截器的核心逻辑是「先看登录态再看角色白名单」public class AuthInterceptor implements HandlerInterceptor { // 免登录白名单登录页、验证码、静态资源 private static final String[] WHITE {/login, /captcha, /static/}; Override public boolean preHandle(HttpServletRequest req, HttpServletResponse resp, Object handler) throws Exception { String uri req.getRequestURI(); for (String w : WHITE) { if (uri.startsWith(w)) return true; } // 关键session 里存的不是简单 boolean而是带角色的用户对象 Object user req.getSession().getAttribute(LOGIN_USER); if (user null) { resp.sendRedirect(req.getContextPath() /login); return false; } // 角色白名单拦截教师端不允许写社团信息 String role ((UserVO) user).getRole(); if (uri.startsWith(/club/audit) !teacher.equals(role) !admin.equals(role)) { resp.setStatus(403); resp.getWriter().write({\code\:403,\msg\:\无权审核\}); return false; } return true; } }preHandle返回false就直接截断请求链不会再进 Controller。注意区分重定向页面跳转和直接写 JSON前后端分离接口Element UI 前端拿到 403 需要弹提示不能傻跳登录页。2.3 从 E-R 图落到物理表E-R 图里的实体主要有管理员、社长用户、教师用户、学生用户、社团信息、社团活动、社团风采、教室借用、社团人员、社团公告、学生反馈外加一张access_token表。实体的关系是一个社长管理一个社团1:1一个社团有多个成员1:n一个社团有多个活动1:n一个社长可以提交多条教室借用申请1:n教师审核这些申请。access_token表容易被忽略它是登录会话的落库版本字段类型长度允许空说明token_idint10否令牌主键tokenvarchar64是临时访问牌infotext65535是附加信息用户 ID、角色maxageint10否最大寿命默认 2 小时create_timetimestamp19否创建时间默认当前时间把 token 落库而不是只放 session好处是服务重启后会话还能校验也方便做「他在哪里登录过」的排查。社团信息表通常会带audit_status0 待审、1 通过、2 驳回和teacher_id这是后文审核流的基础字段。3. 社团信息、活动、教室借用的 CRUD 落地权限骨架搭好之后真正占代码量的是增删改查。这套系统里社团信息、社团活动、教室借用三块结构相似都是「列表 条件检索 新增/编辑弹窗 删除」。把其中一块写透另外两块就是复制粘贴改字段。3.1 实体类与表字段的映射规范先看社团信息表的核心字段怎么对应 Java 实体数据库字段Java 字段类型说明club_idclubIdInteger社团主键自增club_nameclubNameString社团名称club_typeclubTypeString社团类型关联类型管理president_idpresidentIdInteger社长用户 IDmember_countmemberCountInteger社团人数club_honorclubHonorString社团荣誉audit_statusauditStatusInteger0 待审 / 1 通过 / 2 驳回cover_imgcoverImgString封面图片路径命名要统一按驼峰转下划线mybatis-config.xml里打开mapUnderscoreToCamelCasetrue能省掉大量result映射。别一边用驼峰一边在 XML 里手写resultMap字段一多必然对不上。3.2 Mapper XML 与动态 SQL 条件检索社团列表页一般带三个检索条件社团名称模糊查、类型下拉筛选、审核状态筛选。全写成 if 拼接就是 MyBatis 的whereif组合select idselectClubPage resultTypecom.club.entity.ClubInfo SELECT club_id, club_name, club_type, president_id, member_count, club_honor, audit_status, cover_img FROM club_info where !-- 逻辑删除标记查列表永远带这一条 -- is_deleted 0 if testclubName ! null and clubName ! AND club_name LIKE CONCAT(%, #{clubName}, %) /if if testclubType ! null and clubType ! AND club_type #{clubType} /if if testauditStatus ! null AND audit_status #{auditStatus} /if !-- 社长只能看自己的社团管理员不传 presidentId 就不加这个条件 -- if testpresidentId ! null AND president_id #{presidentId} /if /where ORDER BY create_time DESC /select这里的逻辑是where会自动去掉开头多余的AND不用手写WHERE 11。参数上的#{}是预编译占位符能防注入如果哪天想按字段名动态排序那种必须用${}的地方一定要在 Java 侧用枚举白名单校验字段名不能直接把前端传的字符串拼进去。分页配合 PageHelper 只写一行// Service 层调用前紧跟查询方法PageHelper 只对第一条 SQL 生效 public PageInfoClubInfo page(Integer pageNum, Integer pageSize, ClubQuery query) { PageHelper.startPage(pageNum, pageSize); ListClubInfo list clubMapper.selectClubPage(query); return new PageInfo(list); }pageNum从 1 开始pageSize传 0 会触发 PageHelper 查全部线上要限制上限比如最大 100。PageInfo返回的total才是分页组件要的总条数。3.3 新增、修改要盯住的三件事新增社团信息时社长用户提交后audit_status必须强制置 0不能信任前端传值否则有人改个参数就绕过审核。做法是在 Service 里显式覆盖// 新增无论前端传什么状态一律重置为待审核 club.setAuditStatus(0); club.setPresidentId(loginUser.getId()); club.setCreateTime(new Date()); clubMapper.insert(club);修改接口则要防越权先按主键查原记录比对presidentId是否等于当前登录用户管理员放行其他人直接拒绝。删除用逻辑删除is_deleted 1而不是物理DELETE换届后还能追溯历史数据。教室借用的表结构多三个字段borrow_date借用日期、borrow_remark借用备注、audit_status审核状态CRUD 逻辑和社团信息同构只是审核人换成教师。4. 审核流、反馈与状态机社长提交、教师审核的实战社团信息和教室借用都牵扯「提交—审核」两方这是整套系统里最容易出并发问题的地方。一个社团被教师点通过的同时社长又点了一次编辑提交状态就乱了。把状态机显式定义出来再配合乐观锁或条件更新问题基本能压住。4.1 三态审核模型与状态迁移规则审核状态统一定义为三态四类角色只能触发允许的迁移当前状态允许操作触发角色目标状态0 待审核提交审核社长/教师提交00 待审核通过教师、管理员1 已通过0 待审核驳回教师、管理员2 已驳回2 已驳回修改后重新提交社长0 待审核1 已通过撤回管理员0 待审核驳回状态必须允许社长修改后重新提交否则被驳回一次就等于作废实际使用中老师会投诉。迁移逻辑集中写在一个方法里// 审核用条件更新防止并发覆盖WHERE 带上原状态 public int audit(Integer clubId, Integer targetStatus, Integer auditorId) { if (targetStatus ! 1 targetStatus ! 2) { throw new IllegalArgumentException(非法审核状态); } ClubInfo update new ClubInfo(); update.setClubId(clubId); update.setAuditStatus(targetStatus); update.setAuditorId(auditorId); update.setAuditTime(new Date()); // 关键只更新 audit_status 0 的记录返回 0 说明已被别人审过 int rows clubMapper.auditWithStatusCheck(update); if (rows 0) { throw new IllegalStateException(该记录已被审核请刷新后重试); } return rows; }对应 SQL 里WHERE club_id #{clubId} AND audit_status 0这就是最朴素的乐观锁。返回影响行数为 0前端提示「已被审核」用户刷新即可比加分布式锁简单得多。4.2 审核与事务边界教师通过一个教室借用申请往往要同时做两件事改申请状态、写一条审核日志。这两步必须在一个事务里否则改了状态没写日志排查时无从下手。事务加在 Service 方法上// Service 方法上加事务传播行为默认 REQUIRED Transactional(rollbackFor Exception.class) public void approveBorrow(Integer borrowId, Integer auditorId) { int rows borrowMapper.updateStatus(borrowId, 1, auditorId); if (rows 0) { // 抛运行时异常才能触发回滚被 catch 掉就白写了 throw new IllegalStateException(申请状态已变更); } auditLogMapper.insert(new AuditLog(borrow, borrowId, auditorId, pass)); }两个常见错误一是自己try-catch把异常吞了事务不回滚二是把Transactional加在 Controller 上Controller 不经过 Spring 代理注解无效。事务只加在 Service 层且方法必须是 public。4.3 反馈、公告与消息联动学生反馈模块是「学生提交—管理员回复」的单向流字段包含feedback_content、reply_content、reply_time。公告模块本质是带置顶和有效期的富文本管理员和社长都能发区别是社长只能发本社团公告。两个模块之间可以做个联动管理员回复反馈后顺手往公告表插一条已回复提示或者用站内消息表推送避免学生反复刷新页面看回复。用户管理模块的删除接口要连带处理关联数据删社长账号前先确认其名下社团是否已移交否则社团信息的president_id会指向一个不存在的用户列表页显示空社长。4.4 联调阶段高频报错与定位现象常见原因定位手段社团公告中文乱码缺字符编码过滤器或数据库连接串没带 utf8查characterEncoding和表字符集Mapper 注入为 null接口没被 MapperScannerConfigurer 扫到看 basePackage 路径大小写分页 total 恒为 0PageHelper 没紧跟查询方法确认startPage与查询相邻时间差 8 小时连接串缺serverTimezone补Asia/Shanghai403 但用户已登录拦截器路径匹配写错打印req.getRequestURI()列表页一次查 20 条社团每条又要查社长姓名、类型名称就会触发 N1 查询。常见做法是在 Mapper 里用LEFT JOIN把社长昵称和类型名一次带出来别在循环里调单条查询。5. 部署验证与压力自测把毕业设计跑成可交付系统代码写完只是开始答辩前最怕的是演示现场 404 或者数据串了。上线前按下面的顺序做一遍可交付验证能挡掉八成现场事故。5.1 从零初始化数据库与部署包先建库建表再灌一份种子数据验证空库到有数据的完整路径# 1. 建库并导入表结构字符集必须显式指定 mysql -uroot -p123456 -e CREATE DATABASE club_db DEFAULT CHARSET utf8mb4 COLLATE utf8mb4_general_ci; mysql -uroot -p123456 club_db sql/club_db.sql # 2. 灌入管理员和测试账号密码用明文占位一条其余走加密 mysql -uroot -p123456 club_db -e INSERT INTO sys_user(username, password, role) VALUES(admin,123456,admin); # 3. Maven 打包注意跳过测试前先确认测试类不会连生产库 mvn clean package -DskipTests # 4. 部署到 Tomcat检查 war 是否解压成功 cp target/club.war $TOMCAT_HOME/webapps/ $TOMCAT_HOME/bin/startup.sh tail -f $TOMCAT_HOME/logs/catalina.out打包时常见的坑是pom.xml里 MySQL 驱动作用域写成providedTomcat 里没这个 jar启动直接ClassNotFoundException。改成默认 compile 作用域让它打进WEB-INF/lib。启动日志里如果能打印出数据源初始化和 Mapper 注册条数说明 Spring 容器起来了。5.2 用接口脚本验证四角色权限闭环手工点页面容易漏写个脚本把四种角色的关键接口都过一遍比点一遍页面可靠# 管理员登录后应能删社团社长登录后删同一个社团应返回 403 curl -c admin.txt -d usernameadminpassword123456 http://127.0.0.1:8080/club/login curl -b admin.txt -X POST http://127.0.0.1:8080/club/club/delete?id1 curl -c shezhang.txt -d usernamesz001password123456 http://127.0.0.1:8080/club/login curl -b shezhang.txt -o /dev/null -w %{http_code}\n -X POST http://127.0.0.1:8080/club/club/delete?id1 # 期望输出 403若返回 200说明拦截器白名单或角色判断写漏了重点验证三条线越权删除是否被拦、教师审核后状态是否落库、社长被驳回后能否重新提交。三条都通过权限模型就没有结构性漏洞。5.3 用 JMeter 摸一下登录接口的承接能力毕设系统不需要高并发但答辩老师问「能扛多少人同时登录」时有个数字比空口说强。用 JMeter 建一个线程组50 个并发循环 10 次打登录接口观察平均响应和错误率并发数平均响应错误率结论20180 ms0%常态使用无压力50620 ms0.8%连接池 maxActive 偏小1002.1 s6.5%需要调连接池并加缓存50 并发出现错误时把 Druid 的maxActive从 20 提到 50再加maxWait3000错误率能压下去。登录接口反复查用户表可以给用户查询加一级本地缓存命中后不再走数据库。测完记得清掉压测产生的脏数据别把测试账号和假社团留在演示库里。最后一条经验答辩前把数据库导出留一份备份演示环境当场崩了能五分钟恢复。本文还有配套的精品资源点击获取