简介：一套面向校园场景的Java二手交易平台完整源码，基于JSP/Servlet技术开发，采用B/S模式运行，适合JavaWeb学习者、毕业设计或课程设计参考，可快速实现二手商品的信息浏览、发布与后台管理。压缩包内含311个文件，大小约7.05MB，主要包括49个Java源文件、40个JSP页面、25个XML配置文件、78张JPG图片及22个jar依赖包，另附SQL脚本与文本配置说明，便于初始化数据库和部署测试。其中JSP页面覆盖了商品列表、详情、发布和留言等交互视图，XML文件配置了Struts与Hibernate的映射关系，代码中的DAO与实体类层次清晰，结合JavaScript完成前端交互，可帮助理解数据访问、业务逻辑与页面表现分离的典型写法。项目采用Struts与Hibernate实现MVC分层和ORM持久化，数据库选用MySQL，并配有默认账号信息。资源已有3229人浏览学习，对想掌握JSP/Servlet与Struts/Hibernate整合开发，或以完整实战项目巩固JavaWeb知识的人群具有较强的参考价值。

1. 这个源码能解决什么问题：校园二手交易平台的业务本质

如果你在找“java校园二手交易平台源码”，多半是课程设计、毕设或者想拿来练手的 Java 初学者。这个题目看着不复杂，但真做起来牵扯到用户注册登录、商品发布、图片上传、订单状态流转、搜索分页，还要把前后端跑通，对于一个想尽快交付的人来说，确实不算轻松。很多人从网盘或 GitHub 上拿到一份 java 源码，解压后发现无从下手：数据库没导入、Maven 依赖拉不下来、启动了又报端口冲突。这篇文章就是按我做过多次这类项目的习惯，把一套基于 Spring Boot + MyBatis + MySQL 的校园二手交易平台源码拆开，从技术选型讲到目录结构，再带你一步步跑通，最后把改造和上线的思路也顺一遍。如果你是第一次用这种项目，按顺序来做，基本不会再被同一个坑绊住。

2. 源码的技术构成：Spring Boot + MyBatis + MySQL 的选型与目录拆解

2.1 为什么这个项目几乎都用 Spring Boot + MyBatis

校园二手交易平台属于典型的管理系统，业务核心就是用户、商品、订单这三块。常见做法是后端用 Spring Boot 搭建，MyBatis 做数据库操作，MySQL 存数据，前端要么是 JSP/Thymeleaf 模板，要么单独拆一个 Vue 项目。你在网上能搜到的“java课程设计案例源码”里，十有八九是这套组合，原因很实际：Spring Boot 内置 Tomcat，省去传统 SSM 项目繁琐的 XML 配置；MyBatis 写 SQL 灵活，尤其适合像商品搜索这种条件不固定的查询；MySQL 免费，学校机房和个人电脑都能装。

从“java面试题”的角度也经常考到这套组合：Spring Boot 怎么实现自动装配、MyBatis 的#{}和${}有什么区别、MySQL 的索引怎么设计。所以用这个项目练手，既能把 java 基础里的面向对象、集合、异常处理串起来，又能为找工作时的项目经历攒点素材。不过想把它讲清楚，得先看懂源码的目录和表结构，否则后面改需求容易迷路。

2.2 一个标准源码包的目录结构与文件清单

打开一份典型的“java校园二手交易平台源码”，我一般先看有没有sql或者db目录，然后是后端工程和前端工程。常见的目录结构大概是这样的：

拿到源码后，先别急着打开 IDE，优先看README和sql目录。我遇到过很多同学一上来就点Application.java启动，结果控制台报“Table doesn't exist”，才发现数据库还没建。这个顺序很重要：先建库，再配置连接，最后启动。

后端代码的包结构一般按 Controller、Service、Mapper、Entity 分层。例如：

• controller：接收前端请求，返回 JSON。
• service：业务逻辑，比如下单时要扣库存、生成订单。
• mapper：数据库操作接口，对应的 XML 里写 SQL。
• entity：数据库表的实体映射类。

这种分包方式在 java 项目里几乎成了标准答案，尤其是面对面试官问“项目怎么分层”时，你完全可以拿这套结构去讲。

2.3 数据库设计：5 张核心表的字段关系

二手交易平台的表设计，一般很直观：用户表、商品表、订单表、收藏表、留言表。其中用户和商品是一对多关系，用户可以发布多件二手物品；订单是用户和商品的关联表，一个商品可以被多次下单，但同一时刻只能有一个有效订单；收藏表和留言表都是关联表。下面是我见过的比较标准的字段设计：

这里需要特别关注的是t_goods.images字段。很多新手设计会放多个图片字段，比如 image1, image2, image3，但成熟一点的方案是用逗号分隔的字符串，或者用 JSON 数组。实际开发中，我更推荐用一个goods_image表单独存商品图片，因为图片数量不定，逗号分隔的话一旦需要删除某一张图片，处理起来很麻烦。不过校园项目追求简单，逗号分隔也能用，后端分转成 List 即可。

数据库设计上还有一个容易踩的坑：外键约束。学习阶段老师喜欢讲外键，但真实项目很少加物理外键，都是靠逻辑层保证数据一致性。你自己写时不要滥用ON DELETE CASCADE，否则删一个用户，他的订单、商品、留言会被级联删掉，一旦误操作数据就没了。我一般会在表和表之间只保留普通索引，业务上的关联用代码控制，这在实际部署时会省很多麻烦。

3. 把源码跑起来：本地部署最小步骤与环境配置

3.1 环境准备：JDK、Maven、MySQL、Node

要把这份 spring boot + mybatis 的项目源码跑通，本地环境至少要齐四件事：JDK、Maven、MySQL、Node.js（如果前端是 Vue）。版本上，我一般建议 JDK 用 1.8 或 11，Spring Boot 2.x 在这上面最稳；Maven 3.6+ 够用；MySQL 用 5.7 或 8.0 都行，但注意连接驱动和时区设置可能不同；Node 的话 14 以上跑 Vue CLI 的项目比较顺畅。如果你机器上装的是 JDK 17，且后端源码是 Spring Boot 2.x，启动时很可能会遇到因javax与jakarta命名空间不一致导致的编译报错，这个坑在后续章节专门说。

环境配置这块属于 java 基础的范畴，你最好能自己在终端敲java -version、mvn -v、mysql --version确认都正常。如果哪一步命令没找到，先检查环境变量。比如 Windows 下 JDK 配置不当，命令行里能跑java，但 Maven 找不到 JDK，会报JAVA_HOME错误。遇到这种问题，别急着找项目的问题，先把环境捋顺。

3.2 导入数据库：执行 SQL 脚本的正确姿势

拿到源码后第一步永远是建库。打开 MySQL 客户端，先创建一个数据库，再导入项目提供的init.sql脚本。假设你用的 MySQL 8.0，连接方式是：

mysql -u root -p

进入 MySQL 后执行：

CREATE DATABASE IF NOT EXISTS campus_trade DEFAULT CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; USE campus_trade; SOURCE /path/to/sql/init.sql;

参数说明：DEFAULT CHARACTER SET utf8mb4很关键，如果你用默认的latin1，插入中文会直接乱码。COLLATE utf8mb4_general_ci是非精确排序，对中文拼音排序不强求，够用。SOURCE是 MySQL 命令，不是 SQL 语句，所以一定在 mysql 命令提示符下执行，不要在 Navicat 的查询窗口里执行它，否则会报语法错误。

如果你手头没有.sql文件，而是一堆.java实体类和 Mapper，那源码大概率不是脚本导入的方式，而是用了 Spring Boot 启动时自动建表。这种情况下你要检查application.yml里的配置：

spring: datasource: url: jdbc:mysql://localhost:3306/campus_trade?serverTimezone=Asia/Shanghai&useUnicode=true&characterEncoding=utf8&useSSL=false username: root password: 123456 jpa: hibernate: ddl-auto: none sql: init: mode: always

提示：ddl-auto: none表示不用 JPA 自动建表，sql.init.mode: always表示每次启动执行schema.sql和data.sql。如果你确定是 MyBatis 项目，通常ddl-auto不生效，真正建表的是schema.sql。跑源码时如果不确定，就打开这个配置文件看schema.sql或init.sql的路径。

3.3 启动后端：application.yml 配置和 Maven 命令

确保数据库已经 OK，接下来就是配置后端。打开src/main/resources/application.yml，把url、username、password改成你本机的值。这里有一个常见细节：MySQL 8.0 默认的认证插件是caching_sha2_password，如果你的驱动是旧的mysql-connector-java5.x，会报“Public Key Retrieval is not allowed”错误。解决办法有两个：一是改驱动版本为 8.0+，二是在连接 URL 后面加上allowPublicKeyRetrieval=true。

改完配置后，在项目根目录打开终端，执行：

mvn clean package -DskipTests

如果一切正常，target目录下会生成一个*.jar，然后运行：

java -jar target/campus-trade-0.0.1-SNAPSHOT.jar

参数说明：mvn clean package会把项目打包成可执行 jar，-DskipTests表示跳过单元测试。之所以先用打包命令而不是直接mvn spring-boot:run，是因为打包能提前发现代码编译问题，比如缺少依赖、方法签名对不上。等你启动日志出现“Started Application in xx seconds”，后端就起来了。默认端口一般是8080，访问http://localhost:8080能看到欢迎页或接口文档。

3.4 启动前端：Vue 项目常用命令

如果源码里带frontend目录，里面的package.json说明前端是 Vue 项目。启动前先安装依赖，否则直接npm run dev会报“vite”不是内部命令之类的错误。执行：

cd frontend npm install

依赖安装时间取决于网速和 node_modules 包体积，正常情况下几分钟。装完后启动开发服务器：

npm run serve

参数说明：serve是 Vue CLI 默认的启动命令，如果源码用的是 Vite，则需要执行npm run dev。启动成功后终端会显示本地访问地址，比如http://localhost:8081。注意这时代理配置通常写在前端vue.config.js里，通过它把/api请求转发到后端的8080端口。如果你访问页面时接口报 404，多半是代理没生效，后面避坑章节会细说。

4. 核心模块是怎么实现的：登录、商品、订单与搜索的代码走读

4.1 登录与鉴权：从 Session 到 JWT 的演进

很多校园二手交易平台源码的登录逻辑还停留在 Session 阶段：用户登录成功后，把用户信息放进HttpSession，后续请求通过拦截器判断 session 里有没有 user。这种写法在单体项目里没问题，但一旦前后端分离，session 跨域共享就成了麻烦。所以现在不少源码会升级成 JWT（JSON Web Token）方案。

看源码时，你可以搜索类名判断它是哪种：有TokenService或JWTUtil的，基本就是 JWT 方案；如果只有HttpSession相关代码，则是传统 Session 方案。下面是一段典型的 JWT 登录接口代码：

@PostMapping("/login") public Result login(@RequestBody LoginRequest req) { User user = userService.findByUsername(req.getUsername()); if (user == null || !user.getPassword().equals(MD5Util.md5(req.getPassword()))) { return Result.error("用户名或密码错误"); } String token = JwtUtil.createToken(user.getId(), user.getUsername()); return Result.success(token); }

逻辑说明：先根据前端传的用户名查出用户，比对密码。这里有个细节——源码里密码如果是明文，说明项目比较老；正规一点会用 MD5 加盐或 BCrypt。你拿到源码后第一件事应该是看密码处理方式，如果是明文，上到真实环境绝对会被攻击。然后JwtUtil.createToken生成 token 返回给前端，前端后续请求在 header 里带上Authorization: Bearer <token>，后端通过拦截器解析 token 判断用户身份。

参数说明：LoginRequest是前端传来的 JSON 实体，里面包含username和password；Result是统一返回体，一般有code、message、data三个字段。这里注意很多源码的登录接口没有做验证码校验，如果你要部署到公共环境，最好自己加一个图形验证码或滑块验证，否则会被人用脚本暴力尝试密码。

4.2 商品发布与图片上传：如何防止文件名冲突

商品发布功能是二手交易平台的核心，源码里通常有两个接口：一个是文件上传，一个是保存商品信息。上传接口如果你看到用MultipartFile，那就说明是分成两步处理的。下面是常见的上传代码片段：

@PostMapping("/upload") public Result upload(@RequestParam("file") MultipartFile file) { if (file.isEmpty()) { return Result.error("上传文件不能为空"); } String originalFilename = file.getOriginalFilename(); String suffix = originalFilename.substring(originalFilename.lastIndexOf(".")); String newFilename = UUID.randomUUID().toString().replace("-", "") + suffix; String savePath = uploadDir + newFilename; file.transferTo(new File(savePath)); return Result.success("/images/" + newFilename); }

逻辑说明：UUID.randomUUID()生成不重复文件名，避免不同用户上传同一个名字的图片互相覆盖。这属于 java 源码里几乎必考的点——你写项目时如果直接拼接用户传入的文件名，一旦别人上传叫avatar.jpg的同名文件，后面的请求会覆盖前面的文件。

参数说明：@RequestParam("file")表示前端上传字段名必须叫file，字段对不上会报 400 错误。uploadDir在 application.yml 里配置，一般是./upload，表示项目运行目录下创建 upload 文件夹。这里有个坑：部署到服务器时，uploadDir写成相对路径很容易因为启动位置不同而路径错乱，我一般用绝对路径，比如/data/campus-trade/upload/。还有transferTo方法如果报“cant write to the target file”，多半是目录没有写权限，需要chmod或修改目录权限。

4.3 订单流转逻辑：几种状态的状态机实现

订单是交易平台最复杂的部分。阅读源码时，你会在t_order表看到status字段，常见的值大概是：0 待付款、1 已付款待发货、2 交易完成、3 取消。因为二手交易通常买家直接联系卖家线下交易，有的源码还会简化成：0 已下单、1 已完成。这个状态机如果写得不严谨，会出现买家下单后卖家改了商品价格，或者同一商品被两个人同时下单的情况。

看下单接口时，重点看有没有锁。完整的代码应该是先查询商品状态，然后在事务中更新商品状态为“已下单”或“已卖出”，再生成订单。例如：

@Transactional @Override public Order createOrder(Long goodsId, Long buyerId) { Goods goods = goodsMapper.selectByIdForUpdate(goodsId); if (goods == null || goods.getStatus() != GoodsStatus.ON_SALE) { throw new BizException("商品不存在或已下架"); } goods.setStatus(GoodsStatus.SOLD); goodsMapper.updateById(goods); Order order = new Order(); order.setGoodsId(goodsId); order.setBuyerId(buyerId); order.setSellerId(goods.getUserId()); order.setStatus(OrderStatus.CREATED); order.setPrice(goods.getPrice()); orderMapper.insert(order); return order; }

逻辑说明：代码里selectByIdForUpdate是关键，它给商品行加了悲观锁，两个用户同时下单时，第二个用户会等待锁释放，查到商品状态已是 SOLD，然后抛出异常。如果没有这个锁，在高并发测试下会出现超卖情形。源码如果用的是纯selectById，那就需要靠后续的乐观锁版本号字段解决。

参数说明：@Transactional表示这个方法统一提交或回滚，如果中间任何一步异常，商品状态和订单都不会写入。这个注解是 java 工程师面试必问的，你需要知道它只能对 public 方法生效，并且在同类内部调用时不会走代理，所以事务会失效。

4.4 搜索与分页：MyBatis 动态 SQL 的实现

二手平台的搜索一般按商品标题模糊匹配，同时按分类、价格区间、发布时间排序来过滤。MyBatis 的<if>标签非常适合这种场景。下面是一段常见的 Mapper XML：

<select id="searchGoods" resultType="com.campus.trade.entity.Goods"> SELECT id, title, price, images, status, create_time FROM t_goods <where> <if test="keyword != null and keyword != ''"> AND title LIKE CONCAT('%', #{keyword}, '%') </if> <if test="categoryId != null"> AND category_id = #{categoryId} </if> <if test="minPrice != null"> AND price &gt;= #{minPrice} </if> <if test="maxPrice != null"> AND price &lt;= #{maxPrice} </if> AND status = 1 </where> ORDER BY create_time DESC LIMIT #{offset}, #{pageSize} </select>

逻辑说明：<where>标签会自动处理前面的AND问题，当你第一个条件不成立时，它不会留下多余 AND。LIKE CONCAT('%', #{keyword}, '%')是 MySQL 的正确写法，比在 Java 端拼接好，能防止 SQL 注入。注意到我需要避免一个翻车点：写%字符串时如果直接在 XML 里写'%#{keyword}%'，MyBatis 会把#{}当作字符串内容而不是参数，所以必须用CONCAT。

参数说明：#{keyword}对应接口方法里传进来的@Param("keyword")，offset是起始条数，由前端(pageNum-1) * pageSize算出来。有的源码会用PageHelper分页插件，那就不需要手动写LIMIT，而是在 Service 层调用PageHelper.startPage(pageNum, pageSize)，这种方式更简洁，但你要确认pageNum参数是从 0 开始还是从 1 开始，否则翻页时会漏掉第一页数据。

5. 部署和运行常踩的 5 个坑：从端口冲突到数据库乱码的排查

5.1 MySQL 连接报 “Public Key Retrieval is not allowed”

现象：启动后端时，控制台抛出java.sql.SQLNonTransientConnectionException: Public Key Retrieval is not allowed，项目直接起不来。

原因：MySQL 8.0 默认使用caching_sha2_password作为用户的认证插件，首次连接时客户端只有先获取服务端公钥才能发送密码。老版本的 JDBC 驱动或连接串没有开启allowPublicKeyRetrieval。

解决：在application.yml的 JDBC URL 上追加参数：

url: jdbc:mysql://localhost:3306/campus_trade?serverTimezone=Asia/Shanghai&allowPublicKeyRetrieval=true&useSSL=false

这是一个很典型的 java 基础排查思路：报错信息里通常有明确的“Public Key Retrieval”字样，直接搜关键字就能定位。如果你用的是 Navicat 连数据库没问题，但程序连接报错，通常就是连接串少参数，而不是用户名密码错误。

5.2 前端请求后端接口跨域

现象：页面能打开，但登录时浏览器控制台报Access to XMLHttpRequest错误，提示CORS或跨域。

原因：前后端分离项目的常见翻车点。Vue 开发服务器跑在8081，后端在8080，浏览器把/api/login的请求视为跨域。源码如果没做统一跨域处理，就会被浏览器拦截。

解决：看源码里后端有没有CorsConfig，没有就自己加一个配置类：

@Configuration public class CorsConfig implements WebMvcConfigurer { @Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping("/**") .allowedOriginPatterns("*") .allowedMethods("GET", "POST", "PUT", "DELETE") .allowedHeaders("*"); } }

另外，很多 Vue 项目是依赖vue.config.js里的代理来转发请求的，不需要前端端口直接访问后端。这时候要检查代理有没有把/api前缀去掉。比如代理配置为/api: { target: 'http://localhost:8080', changeOrigin: true }，而后端 Controller 的路由是/login而不是/api/login，那就要在请求路径前手动加/api，或者后端统一加server.servlet.context-path=/api。

5.3 Maven 依赖一直下载失败

现象：mvn clean package卡在Downloading...半小时，或者报Could not transfer artifact org.springframework.boot:spring-boot-starter-parent。

原因：国内访问 Maven 中央仓库慢，甚至被间歇性阻断。有的源码引入了新版本依赖，中央仓库还没同步，也会出现 404。

解决：优先检查本地仓库是否有对应目录，然后换阿里云镜像。在 Maven 的settings.xml中加入：

<mirror> <id>aliyunmaven</id> <mirrorOf>central</mirrorOf> <url>https://maven.aliyun.com/repository/public</url> </mirror>

如果你改了镜像后依然拉不下来，尝试在 IDEA 的 Maven 设置里勾选 “Always update snapshots”，然后删除本地仓库里对应的.lastUpdated文件。还有一个小技巧：把 JDK 降到与源码一致。因为 Spring Boot 2.2 的某些依赖在 JDK 11 下可能编译出现问题，报错信息显示无法访问X，这时候去看源码的pom.xml里的java.version字段，把它调成你本机的版本即可，比如<java.version>1.8</java.version>。

5.4 MySQL 插入中文乱码

现象：页面填入中文商品名称，查看数据库发现显示????或乱码。Navicat 里看表结构是 utf8，但数据还是乱。

原因：建库时没有指定字符集，或者 JDBC 连接串没加characterEncoding=utf8。更隐蔽的问题是数据库客户端连接后，表的字符集是utf8而列的排序规则是utf8_general_ci，对有些复杂中文符号就不兼容。

解决：先执行SHOW CREATE TABLE t_goods;，看表的CHARSET，不是utf8mb4就改成：

ALTER TABLE t_goods CONVERT TO CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci;

然后确保连接 URL 的参数里有：

url: jdbc:mysql://localhost:3306/campus_trade?useUnicode=true&characterEncoding=utf8

还有一点，看源码的 SQL 脚本是否有SET NAMES utf8mb4;这一行，没有的话导入时用mysql --default-character-set=utf8mb4来执行。如果你用的是图形工具导入，也要同步改导入选项的字符集，很多人忽略了这一项，导致字段显示乱码还以为是后端编码问题。

5.5 端口被占用导致启动失败

现象：启动 Spring Boot 时日志最后一句是Web server failed to start. Port 8080 was already in use.，或者前端npm run serve报Port 8081 is already in use。

原因：之前启动过的进程没杀掉，或者别的开发项目占了端口。Windows 下经常出现 java 进程残留，Linux 下则是没把进程号记住。

解决：找到并杀掉占用端口的进程。

Windows：

netstat -ano | findstr "8080" taskkill /PID <pid> /F

Linux/macOS：

lsof -i :8080 kill -9 <pid>

如果你不想每次都换端口，可以在配置文件中改掉默认端口，比如后端用server.port=8082，前端代理同步改成8082。不过这里要留意：很多前端页面里的静态资源路径是写死http://localhost:8080的，你改了后端端口没有改前端代码里的地址，照样请求失败。这就是为什么我建议尽量杀掉旧进程而不是改端口，等熟悉了再动配置。

6. 拿到源码之后：改造、验证与上线建议

6.1 先跑通再改：用接口验证关键链路

不要一上来就改代码。我习惯的做法是，先启动数据库、后端、前端，登录一个初始账号，发布一条商品，再模拟下单走一遍流程。这样能确定源码是完好的，后续改动才有参照。验证时可以只用浏览器，也可以用 curl 做一个简单的接口自检。比如后端启动后，注册登录的接口可以这么试：

curl -X POST http://localhost:8080/api/user/login \ -H "Content-Type: application/json" \ -d '{"username":"admin","password":"123456"}'

返回里如果带着 token，说明登录链路通。接下来用同一个 token 调用发布商品的接口：

curl -X POST http://localhost:8080/api/goods/add \ -H "Authorization: Bearer <token>" \ -H "Content-Type: application/json" \ -d '{"title":"九成新高数教材","price":15.00,"description":"无笔记，几乎全新"}'

参数说明：<token>是上面登录接口返回的值，注意有些源码要求 header 是Authorization: token而不是带Bearer。如果报 401，先看后端的拦截器代码，确认它读取 header 的方式，再调整 curl 的写法。

6.2 改造优先级：安全、缓存、部署

如果你要把这个源码用于毕设答辩或真正上线，我建议按照安全、性能、可维护性的顺序改造。第一优先级是修复明文密码，把 MD5 换成 BCrypt；第二是给上传接口加文件类型白名单，只允许 jpg/png/webp，否则会被人传 jsp 木马；第三是给商品搜索加 Redis 缓存，因为二手交易平台访问最多的是商品列表，热点数据缓存后压力小很多。

另外可以引入 Swagger 或 Knife4j 写接口文档，方便答辩时演示。比如后端加依赖后在application.yml开启：

knife4j: enable: true

访问http://localhost:8080/doc.html就能看到所有接口的参数说明。这是我做课程设计时最常用的一招——比起口述逻辑，展示一份完整的接口文档更直观。改到这一步，源码的价值就不仅限于提交作业，而是真正变成了你自己的项目经历。记住，一定要先有跑通的基础，再谈改造。我见过太多人先改代码后启动，最后报错都不知道是源码问题还是自己的问题，那种情况最让人头大。希望这篇笔记能让你少走一次弯路，也希望你在这个项目上顺利交工。

本文还有配套的精品资源，点击获取