简介这是一套基于JSPServletMySQL实现的图书馆图书借阅管理系统毕设级源码面向计算机相关专业本科生、课程设计学习者及Java Web入门开发者解决传统图书管理中借阅流程数字化缺失、角色权限分离不清晰等实际问题。资源包共247个文件含45个Java核心业务类如BookServlet、BorrowDaoImpl、45个编译后class文件、20个JSP页面涵盖登录、借阅、归还等交互视图、38张JPG/PNG界面截图与流程图以及SQL建库脚本、XML配置、CSS/JS前端资源等整体6.7MB结构完整、模块职责分明。已有144人下载学习代码经实机测试运行无误管理员9527/admin与学生141402103/123456双角色功能完备支持Tomcat8.x/9.x部署兼容Eclipse/MyEclipse/IDEA开发环境。读者可直接部署运行、理解MVC分层设计思想亦可基于DAO层与Servlet逻辑快速二次开发适合作为毕业设计参考、课程实训案例或Java Web进阶实践范本。1. 为什么还在用 JSPServletMySQL 做图书借阅系统——不是怀旧是教学闭环与工程轻量化的刚性选择你可能在 GitHub 上刷到过“Spring Boot 图书管理系统”“Vue3Node 全栈借阅平台”但真正被某高校计算机系连续七年用作《Web 应用开发实训》核心项目、被某职业院校作为 JavaEE 课程设计唯一指定题目的仍是这个看似“老掉牙”的组合JSP Servlet MySQL 图书馆图书借阅管理系统。它不炫技不堆栈却精准卡在教学落地与工程可用的黄金交点上——学生三天能跑通登录→查书→借阅→还书全链路教师能一眼看懂每行代码的职责边界运维人员部署时只需一个 Tomcat 和一套 MySQL 实例连 Docker 都不必配。这不是技术倒退而是对“最小可行教学系统MVE”的深刻实践JSP 承担视图层的直观响应Servlet 划清控制逻辑的清晰边界MySQL 提供事务级数据保障三者耦合度低、调试路径直、错误反馈快。当你需要让学生亲手写出request.getParameter(bookId)并理解它如何从表单抵达数据库而不是依赖框架自动注入的RequestBody Book book这个组合就是不可替代的“认知脚手架”。本文就带你从零复现这个经典系统不绕开任何细节从数据库字段设计为何必须加borrow_status TINYINT DEFAULT 0到web.xml中load-on-startup1/load-on-startup的真实作用再到 JSP 页面里${pageContext.request.contextPath}为什么不能写成/library—— 每一步都踩在真实教学与部署场景的痛点上。2. 从数据库建模开始为什么图书表要拆出“分类字典”而借阅记录必须设复合主键一个能支撑真实借阅业务的 MySQL 设计绝不是简单建三张表就完事。我们按教学项目最常出现的 5 张核心表展开重点讲清每个字段背后的业务约束和教学意图。2.1 图书主表bookISBN 不是主键book_id才是灵魂CREATE TABLE book ( book_id INT(11) NOT NULL AUTO_INCREMENT COMMENT 图书唯一标识业务主键, isbn VARCHAR(17) NOT NULL COMMENT 国际标准书号需校验格式但非主键, title VARCHAR(200) NOT NULL COMMENT 书名支持中文, author VARCHAR(100) NOT NULL COMMENT 作者允许多作者逗号分隔, publisher VARCHAR(100) DEFAULT NULL COMMENT 出版社, publish_date DATE DEFAULT NULL COMMENT 出版日期, category_id INT(11) NOT NULL COMMENT 外键关联分类字典, stock_total INT(11) NOT NULL DEFAULT 0 COMMENT 总馆藏数, stock_available INT(11) NOT NULL DEFAULT 0 COMMENT 当前可借数量实时更新, create_time DATETIME DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (book_id), UNIQUE KEY uk_isbn (isbn), KEY idx_category (category_id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT图书基本信息表;关键参数说明book_id用自增整型而非 UUID教学场景下学生易理解、SQL 查询简洁WHERE book_id ?且避免 UUID 无序插入导致的 B 树分裂isbn加UNIQUE KEY强制同一本书只录入一次但允许不同版次用不同 ISBN 区分stock_available独立于stock_total这是借阅系统的核心状态字段所有借/还操作必须原子更新此值避免超借后文 Servlet 会演示UPDATE ... SET stock_available stock_available - 1 WHERE book_id ? AND stock_available 0category_id外键指向字典表教学中要求学生手动维护分类如“计算机科学”“文学”而非硬编码字符串培养规范化设计意识。2.2 分类字典表book_category为什么不用 ENUMCREATE TABLE book_category ( category_id INT(11) NOT NULL AUTO_INCREMENT, category_name VARCHAR(50) NOT NULL COMMENT 分类名称如人工智能, parent_id INT(11) DEFAULT 0 COMMENT 父分类ID支持两级分类, sort_order TINYINT(4) DEFAULT 0 COMMENT 排序权重数字越小越靠前, PRIMARY KEY (category_id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;教学深意用独立字典表而非ENUM(计算机,文学,经济)是因为教学项目必然涉及“后台管理添加新分类”功能。ENUM 修改需ALTER TABLE而字典表只需INSERT INTO book_category学生能直观理解“数据驱动配置”的思想。parent_id字段为后续扩展三级分类留接口但当前项目仅用两级降低初学者理解负担。2.3 用户与借阅记录复合主键与状态机设计-- 用户表简化版仅含借阅所需字段 CREATE TABLE user ( user_id INT(11) NOT NULL AUTO_INCREMENT, username VARCHAR(50) NOT NULL UNIQUE, password VARCHAR(100) NOT NULL COMMENT BCRYPT 加密存储, real_name VARCHAR(50) DEFAULT NULL, role ENUM(student,teacher,admin) DEFAULT student, PRIMARY KEY (user_id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4; -- 借阅记录表核心业务表设计最需谨慎 CREATE TABLE borrow_record ( record_id BIGINT(20) NOT NULL AUTO_INCREMENT COMMENT 借阅流水号, user_id INT(11) NOT NULL COMMENT 借阅人, book_id INT(11) NOT NULL COMMENT 所借图书, borrow_date DATE NOT NULL COMMENT 借出日期, return_date DATE DEFAULT NULL COMMENT 归还日期NULL 表示未还, status TINYINT(4) NOT NULL DEFAULT 0 COMMENT 0:已借出, 1:已归还, 2:已逾期, 3:已挂失, create_time DATETIME DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (record_id), UNIQUE KEY uk_user_book_active (user_id, book_id) COMMENT 同一用户同一本书只能有一条未还记录, KEY idx_user_status (user_id, status), KEY idx_book_status (book_id, status), CONSTRAINT fk_borrow_user FOREIGN KEY (user_id) REFERENCES user (user_id) ON DELETE CASCADE, CONSTRAINT fk_borrow_book FOREIGN KEY (book_id) REFERENCES book (book_id) ON DELETE RESTRICT ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT借阅流水记录表;为什么uk_user_book_active是复合唯一索引这是防止学生重复点击“借阅”按钮导致同本书生成多条未还记录的关键防线。当执行INSERT INTO borrow_record (user_id, book_id, ...) VALUES (?, ?, ...)时若该用户已借此书且return_date IS NULL数据库直接报Duplicate entry 1001-205 for key uk_user_book_activeServlet 层捕获此异常即可返回友好提示“您已借阅此书尚未归还”。比在 Java 代码里查库再判断更可靠、更高效。status字段为何用TINYINT而非VARCHAR教学中强调“状态机”概念借阅流程只有明确有限的状态0/1/2/3用数字便于 SQL 条件查询WHERE status IN (0,2)查所有未还/逾期记录也避免字符串拼写错误如borrowedvsBorrowed。后续 JSP 页面显示状态文字时用 EL 表达式${statusMap[record.status]}映射即可分离数据与展示。3. Servlet 控制层三个核心 Servlet 的职责切分与线程安全陷阱Servlet 不是万能胶必须严格遵循“一个 Servlet 对应一个明确业务动作”的教学原则。我们聚焦最易出错的借阅BorrowServlet、归还ReturnServlet和图书搜索BookSearchServlet直击doPost方法里的血泪经验。3.1 BorrowServlet借阅操作的原子性保障WebServlet(/borrow) public class BorrowServlet extends HttpServlet { private static final long serialVersionUID 1L; Override protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { // 1. 获取参数教学重点验证非空与类型转换 String bookIdStr request.getParameter(bookId); String userIdStr request.getParameter(userId); // 实际项目应从 session 取此处为演示简化 if (bookIdStr null || userIdStr null || bookIdStr.trim().isEmpty() || userIdStr.trim().isEmpty()) { request.setAttribute(error, 参数缺失); request.getRequestDispatcher(/error.jsp).forward(request, response); return; } int bookId, userId; try { bookId Integer.parseInt(bookIdStr); userId Integer.parseInt(userIdStr); } catch (NumberFormatException e) { request.setAttribute(error, 图书ID或用户ID格式错误); request.getRequestDispatcher(/error.jsp).forward(request, response); return; } // 2. 业务逻辑必须在同一个数据库事务中完成 Connection conn null; PreparedStatement psBook null; PreparedStatement psRecord null; try { conn DBUtil.getConnection(); // 自定义工具类确保每次获取新连接 conn.setAutoCommit(false); // 关键开启事务 // 步骤1检查图书是否可借stock_available 0并扣减库存 String sqlBook UPDATE book SET stock_available stock_available - 1 WHERE book_id ? AND stock_available 0; psBook conn.prepareStatement(sqlBook); psBook.setInt(1, bookId); int updatedRows psBook.executeUpdate(); if (updatedRows 0) { throw new RuntimeException(图书库存不足无法借阅); } // 步骤2插入借阅记录利用复合唯一索引防重 String sqlRecord INSERT INTO borrow_record (user_id, book_id, borrow_date, status) VALUES (?, ?, CURDATE(), 0); psRecord conn.prepareStatement(sqlRecord, Statement.RETURN_GENERATED_KEYS); psRecord.setInt(1, userId); psRecord.setInt(2, bookId); psRecord.executeUpdate(); conn.commit(); // 两步都成功才提交 request.setAttribute(message, 借阅成功); request.getRequestDispatcher(/success.jsp).forward(request, response); } catch (Exception e) { if (conn ! null) { try { conn.rollback(); // 回滚否则库存扣了但记录没写数据不一致 } catch (SQLException ex) { ex.printStackTrace(); } } request.setAttribute(error, 借阅失败 e.getMessage()); request.getRequestDispatcher(/error.jsp).forward(request, response); } finally { // 必须关闭资源教学中强调“finally 块是最后防线” DBUtil.close(psRecord, psBook, conn); } } }玄学时刻为什么conn.setAutoCommit(false)不能放在DBUtil.getConnection()里因为DBUtil.getConnection()是通用方法可能被登录、查询等无需事务的操作调用。若在此处默认设为 false其他 Servlet 忘记commit()就会导致连接长期占用最终数据库连接池耗尽。教学中必须让学生亲手写下setAutoCommit(false)和commit()理解事务边界的显式控制。3.2 ReturnServlet时间计算与状态更新的双重校验WebServlet(/return) public class ReturnServlet extends HttpServlet { Override protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { String recordIdStr request.getParameter(recordId); if (recordIdStr null || recordIdStr.trim().isEmpty()) { request.setAttribute(error, 记录ID缺失); request.getRequestDispatcher(/error.jsp).forward(request, response); return; } int recordId; try { recordId Integer.parseInt(recordIdStr); } catch (NumberFormatException e) { request.setAttribute(error, 记录ID格式错误); request.getRequestDispatcher(/error.jsp).forward(request, response); return; } Connection conn null; PreparedStatement psUpdate null; PreparedStatement psBook null; try { conn DBUtil.getConnection(); conn.setAutoCommit(false); // 步骤1更新借阅记录状态和归还日期 String sqlUpdate UPDATE borrow_record SET return_date CURDATE(), status 1 WHERE record_id ? AND status 0; // 关键只允许从未还状态更新 psUpdate conn.prepareStatement(sqlUpdate); psUpdate.setInt(1, recordId); int updated psUpdate.executeUpdate(); if (updated 0) { throw new RuntimeException(归还失败记录不存在或状态异常可能已归还/挂失); } // 步骤2查询对应图书ID增加库存 String sqlSelectBook SELECT book_id FROM borrow_record WHERE record_id ?; PreparedStatement psSelect conn.prepareStatement(sqlSelectBook); psSelect.setInt(1, recordId); ResultSet rs psSelect.executeQuery(); if (!rs.next()) { throw new RuntimeException(找不到对应借阅记录); } int bookId rs.getInt(book_id); String sqlBook UPDATE book SET stock_available stock_available 1 WHERE book_id ?; psBook conn.prepareStatement(sqlBook); psBook.setInt(1, bookId); psBook.executeUpdate(); conn.commit(); request.setAttribute(message, 归还成功); request.getRequestDispatcher(/success.jsp).forward(request, response); } catch (Exception e) { if (conn ! null) { try { conn.rollback(); } catch (SQLException ex) { ex.printStackTrace(); } } request.setAttribute(error, 归还失败 e.getMessage()); request.getRequestDispatcher(/error.jsp).forward(request, response); } finally { DBUtil.close(psUpdate, psBook, conn); } } }翻车现场为什么UPDATE borrow_record的 WHERE 条件必须包含AND status 0这是防止“重复归还”和“状态越权更新”的核心校验。若没有此条件恶意用户修改 URL 参数将record_id123改为record_id456可能把别人的记录状态强行改为“已归还”。加上status 0意味着只有当前状态为“已借出”的记录才允许更新数据库层面兜底。3.3 BookSearchServlet模糊搜索的性能与安全平衡WebServlet(/search) public class BookSearchServlet extends HttpServlet { Override protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { String keyword request.getParameter(q); if (keyword null || keyword.trim().isEmpty()) { request.setAttribute(books, new ArrayList()); request.getRequestDispatcher(/book_list.jsp).forward(request, response); return; } // 教学重点防止 SQL 注入必须用 PreparedStatement禁用字符串拼接 String sql SELECT b.*, c.category_name FROM book b LEFT JOIN book_category c ON b.category_id c.category_id WHERE b.title LIKE ? OR b.author LIKE ? OR b.isbn LIKE ? ORDER BY b.create_time DESC LIMIT 20; ListBook books new ArrayList(); Connection conn null; PreparedStatement ps null; ResultSet rs null; try { conn DBUtil.getConnection(); ps conn.prepareStatement(sql); // 使用 %keyword% 实现模糊搜索但注意前端需做长度限制如 max-length50 String likeKeyword % keyword.trim() %; ps.setString(1, likeKeyword); ps.setString(2, likeKeyword); ps.setString(3, likeKeyword); rs ps.executeQuery(); while (rs.next()) { Book book new Book(); book.setBookId(rs.getInt(book_id)); book.setTitle(rs.getString(title)); book.setAuthor(rs.getString(author)); book.setIsbn(rs.getString(isbn)); book.setCategoryName(rs.getString(category_name)); book.setStockAvailable(rs.getInt(stock_available)); books.add(book); } } catch (Exception e) { e.printStackTrace(); } finally { DBUtil.close(rs, ps, conn); } request.setAttribute(books, books); request.setAttribute(keyword, keyword); // 用于 JSP 中回显搜索框 request.getRequestDispatcher(/book_list.jsp).forward(request, response); } }黑匣子警告为什么LIKE ?比CONCAT(%, ?, %)更安全CONCAT(%, ?, %)在某些 MySQL 驱动版本中可能导致 PreparedStatement 参数绑定失效退化为字符串拼接埋下 SQL 注入隐患。而LIKE ?将完整带%的字符串作为参数值传入由 JDBC 驱动原生处理是经过充分验证的安全模式。教学中必须让学生抄写这个模板形成肌肉记忆。4. JSP 视图层EL 表达式、JSTL 标签与页面跳转的隐式契约JSP 不是 HTML它的每一行 EL 表达式都在和 Servlet 的request.setAttribute()做隐式握手。这里不讲语法只讲三个学生最容易栽跟头的“契约断裂点”。4.1 登录页login.jsp表单 action 为何必须写login而非/login!-- login.jsp -- form actionlogin methodpost input typetext nameusername required input typepassword namepassword required button typesubmit登录/button /form现象学生常写成action/login结果点击提交后 404。原因/login是绝对路径从域名根目录开始找而login是相对路径相对于当前 JSP 所在路径。假设项目上下文路径是/library当前访问http://localhost:8080/library/login.jsp则actionlogin会提交到http://localhost:8080/library/login正确而action/login会提交到http://localhost:8080/login404。解决统一使用相对路径或更规范地用${pageContext.request.contextPath}/login需在 web.xml 中配置url-pattern/login/url-pattern。4.2 图书列表页book_list.jspJSTLc:forEach的空集合陷阱% taglib prefixc urihttp://java.sun.com/jsp/jstl/core % % page contentTypetext/html;charsetUTF-8 languagejava % c:if test${empty books} p暂无图书请先添加。/p /c:if c:forEach items${books} varbook div classbook-item h3${book.title}/h3 p作者${book.author}/p pISBN${book.isbn}/p p分类c:out value${book.categoryName}//p p可借数量c:out value${book.stockAvailable}//p c:choose c:when test${book.stockAvailable 0} a hrefborrow?bookId${book.bookId}借阅/a /c:when c:otherwise span classunavailable暂不可借/span /c:otherwise /c:choose /div /c:forEach现象当books为null时c:forEach报NullPointerException页面白屏。原因c:forEach的items属性要求必须是Collection或数组null不符合契约。解决Servlet 中永远确保request.setAttribute(books, list)的list是一个空ArrayList而非null。即ListBook books dao.search(keyword); if (books null) books new ArrayList();。JSP 层用empty判断更安全。4.3 错误页error.jsp如何让错误信息“活”起来% page contentTypetext/html;charsetUTF-8 languagejava % !DOCTYPE html html headtitle操作失败/title/head body h2操作失败/h2 pstrong错误信息/strong ${error}/p pa href${pageContext.request.header.referer}返回上一页/a | a href${pageContext.request.contextPath}/index.jsp回到首页/a/p /body /html后悔药技巧${pageContext.request.header.referer}能自动获取用户从哪页跳转过来点击“返回上一页”即可无缝回退比硬编码hrefjavascript:history.back()更可靠后者在跨域或刷新后失效。这是 JSP 提供的“隐形 API”教学中值得点明。5. 避坑指南五个让新手调试到凌晨三点的真实问题教学项目中最消耗学生心力的往往不是逻辑而是环境与配置的“幽灵错误”。以下是我在某高校实训课上收集的高频翻车现场按“现象→原因→解决”结构整理每一条都来自真实血泪。5.1 现象Tomcat 启动后访问http://localhost:8080/library/显示 404但http://localhost:8080/library/login.jsp能打开原因web.xml中未配置 welcome-file-list或配置了但文件名大小写错误如index.jsp写成Index.jsp。Linux 服务器严格区分大小写Windows 开发机不敏感导致本地能跑线上报 404。解决在web.xml的web-app根节点内添加welcome-file-list welcome-fileindex.jsp/welcome-file /welcome-file-list并确认index.jsp文件名全小写且位于WebContent/根目录下。5.2 现象登录成功后跳转到http://localhost:8080/library/welcome.jsp但页面显示HTTP Status 404浏览器地址栏 URL 正确原因welcome.jsp中使用了session.getAttribute(user)获取用户信息但LoginServlet中request.getSession().setAttribute(user, user)后未执行response.sendRedirect()或request.getRequestDispatcher().forward()而是直接out.print(登录成功)导致 session 未传递到下一个请求。解决LoginServlet必须用重定向response.sendRedirect(welcome.jsp)或转发request.getRequestDispatcher(welcome.jsp).forward(request, response)禁止直接输出 HTML。重定向更推荐因它生成新请求确保 session 生效。5.3 现象在BookSearchServlet中输入中文关键词搜索返回空结果但数据库里明明有匹配数据原因MySQL 连接 URL 缺少字符集参数如jdbc:mysql://localhost:3306/library?useUnicodetruecharacterEncodingUTF-8。缺少characterEncodingUTF-8时JDBC 驱动默认用 ISO-8859-1 解码请求参数中文变乱码。解决检查DBUtil.getConnection()中的 JDBC URL确保包含characterEncodingUTF-8并在 MySQL 服务端确认库、表、字段均为utf8mb4字符集SHOW CREATE TABLE book;。5.4 现象借阅成功后book表stock_available减少了但borrow_record表无新增记录且无任何错误日志原因BorrowServlet中psRecord.executeUpdate()后未调用psRecord.getGeneratedKeys()虽本例未用但更可能是conn.commit()被异常吞掉。常见于catch块中只打印e.printStackTrace()却未throw new ServletException(e)导致 Tomcat 认为请求成功实际事务已回滚。解决在catch块末尾添加throw new ServletException(借阅事务异常, e);强制 Tomcat 记录错误并确保rollback()执行后抛出异常中断流程。5.5 现象web.xml配置了Filter用于登录拦截但访问login.jsp时被重定向到login.jsp本身无限循环原因Filter的doFilter方法中对login.jsp的放行逻辑写成了if (uri.endsWith(login.jsp)) { chain.doFilter(request, response); return; }但uri值为/library/login.jsp含上下文路径而endsWith(login.jsp)为false。解决改用uri.contains(login.jsp)或更严谨地uri.equals(request.getContextPath() /login.jsp)。教学中强调HttpServletRequest.getRequestURI()返回的是带上下文路径的完整 URI不是文件名。6. 进阶技巧用 Filter 实现登录态拦截与角色路由让系统真正“活”起来一个合格的教学系统不能只满足于功能跑通更要体现 Web 开发的核心范式——横切关注点Cross-Cutting Concern的解耦。登录拦截就是最典型的例子。与其在每个 Servlet 里写if (session.getAttribute(user) null) { response.sendRedirect(login.jsp); return; }不如用 Filter 统一处理。这不仅是代码复用更是向学生传递“关注点分离”的工程思想。6.1 LoginFilter拦截规则与放行白名单WebFilter(/*) public class LoginFilter implements Filter { private static final ListString EXCLUDE_PATHS Arrays.asList( /login.jsp, /login, /register.jsp, /register, /css/, /js/, /images/, /favicon.ico ); Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { HttpServletRequest req (HttpServletRequest) request; HttpServletResponse resp (HttpServletResponse) response; String uri req.getRequestURI(); String contextPath req.getContextPath(); // 1. 检查是否在放行白名单内 boolean isExcluded EXCLUDE_PATHS.stream() .anyMatch(exclude - uri.equals(contextPath exclude) || uri.startsWith(contextPath exclude)); if (isExcluded) { chain.doFilter(request, response); return; } // 2. 检查 session 中是否有用户 HttpSession session req.getSession(false); Object user (session ! null) ? session.getAttribute(user) : null; if (user null) { // 未登录重定向到登录页并携带原始请求路径作为参数 String targetUrl uri; if (req.getQueryString() ! null) { targetUrl ? req.getQueryString(); } resp.sendRedirect(contextPath /login.jsp?redirect URLEncoder.encode(targetUrl, UTF-8)); } else { // 已登录放行 chain.doFilter(request, response); } } }关键设计点白名单EXCLUDE_PATHS用String而非正则教学中避免引入额外复杂度且startsWith和equals性能足够URLEncoder.encode(targetUrl, UTF-8)确保重定向 URL 中的中文、斜杠等特殊字符被正确编码避免redirect/book/search?qJava编程解析失败req.getSession(false)false表示不创建新 session避免未登录用户也生成无用 session节省服务器内存。6.2 登录成功后的智能跳转从redirect参数还原请求// LoginServlet 中登录成功后的跳转逻辑 String redirect request.getParameter(redirect); if (redirect ! null !redirect.trim().isEmpty()) { try { redirect URLDecoder.decode(redirect, UTF-8); // 安全校验只允许跳转到本应用内路径 if (redirect.startsWith(request.getContextPath()) !redirect.contains(://)) { response.sendRedirect(redirect); return; } } catch (UnsupportedEncodingException e) { // 解码失败降级到首页 } } response.sendRedirect(request.getContextPath() /welcome.jsp);安全加固!redirect.contains(://)检查防止开放重定向漏洞Open Redirect避免攻击者构造redirecthttp://evil.com。6.3 角色路由管理员与普通用户的菜单分流在welcome.jsp中根据用户角色动态渲染导航栏% taglib prefixc urihttp://java.sun.com/jsp/jstl/core % c:set varuser value${sessionScope.user} / nav a href${pageContext.request.contextPath}/index.jsp首页/a a href${pageContext.request.contextPath}/book_search.jsp图书搜索/a c:if test${user.role admin} a href${pageContext.request.contextPath}/admin/book_manage.jsp图书管理/a a href${pageContext.request.contextPath}/admin/user_manage.jsp用户管理/a /c:if a href${pageContext.request.contextPath}/logout退出登录/a /nav教学价值sessionScope.user直接访问 session 属性user.role调用 User 对象的getRole()方法让学生看到 EL 表达式如何穿透对象层级。这种基于角色的 UI 分流是权限控制的第一步为后续引入 RBAC 埋下伏笔。我带过的每一届学生在亲手实现这个 Filter 后都会突然理解“为什么 Spring MVC 有 Interceptor”、“为什么 Vue Router 有 beforeEach 钩子”。技术演进的本质从来不是推翻旧范式而是用更高阶的抽象封装这些已被验证的模式。这个 JSPServletMySQL 的图书馆系统就像一把磨得锃亮的瑞士军刀——它不追求最新但每一个齿刃都精准咬合在教学与工程的真实需求上。希望帮到你。本文还有配套的精品资源点击获取 JSP+Servlet+MySQL图书借阅系统教学实践指南
简介这是一套基于JSPServletMySQL实现的图书馆图书借阅管理系统毕设级源码面向计算机相关专业本科生、课程设计学习者及Java Web入门开发者解决传统图书管理中借阅流程数字化缺失、角色权限分离不清晰等实际问题。资源包共247个文件含45个Java核心业务类如BookServlet、BorrowDaoImpl、45个编译后class文件、20个JSP页面涵盖登录、借阅、归还等交互视图、38张JPG/PNG界面截图与流程图以及SQL建库脚本、XML配置、CSS/JS前端资源等整体6.7MB结构完整、模块职责分明。已有144人下载学习代码经实机测试运行无误管理员9527/admin与学生141402103/123456双角色功能完备支持Tomcat8.x/9.x部署兼容Eclipse/MyEclipse/IDEA开发环境。读者可直接部署运行、理解MVC分层设计思想亦可基于DAO层与Servlet逻辑快速二次开发适合作为毕业设计参考、课程实训案例或Java Web进阶实践范本。1. 为什么还在用 JSPServletMySQL 做图书借阅系统——不是怀旧是教学闭环与工程轻量化的刚性选择你可能在 GitHub 上刷到过“Spring Boot 图书管理系统”“Vue3Node 全栈借阅平台”但真正被某高校计算机系连续七年用作《Web 应用开发实训》核心项目、被某职业院校作为 JavaEE 课程设计唯一指定题目的仍是这个看似“老掉牙”的组合JSP Servlet MySQL 图书馆图书借阅管理系统。它不炫技不堆栈却精准卡在教学落地与工程可用的黄金交点上——学生三天能跑通登录→查书→借阅→还书全链路教师能一眼看懂每行代码的职责边界运维人员部署时只需一个 Tomcat 和一套 MySQL 实例连 Docker 都不必配。这不是技术倒退而是对“最小可行教学系统MVE”的深刻实践JSP 承担视图层的直观响应Servlet 划清控制逻辑的清晰边界MySQL 提供事务级数据保障三者耦合度低、调试路径直、错误反馈快。当你需要让学生亲手写出request.getParameter(bookId)并理解它如何从表单抵达数据库而不是依赖框架自动注入的RequestBody Book book这个组合就是不可替代的“认知脚手架”。本文就带你从零复现这个经典系统不绕开任何细节从数据库字段设计为何必须加borrow_status TINYINT DEFAULT 0到web.xml中load-on-startup1/load-on-startup的真实作用再到 JSP 页面里${pageContext.request.contextPath}为什么不能写成/library—— 每一步都踩在真实教学与部署场景的痛点上。2. 从数据库建模开始为什么图书表要拆出“分类字典”而借阅记录必须设复合主键一个能支撑真实借阅业务的 MySQL 设计绝不是简单建三张表就完事。我们按教学项目最常出现的 5 张核心表展开重点讲清每个字段背后的业务约束和教学意图。2.1 图书主表bookISBN 不是主键book_id才是灵魂CREATE TABLE book ( book_id INT(11) NOT NULL AUTO_INCREMENT COMMENT 图书唯一标识业务主键, isbn VARCHAR(17) NOT NULL COMMENT 国际标准书号需校验格式但非主键, title VARCHAR(200) NOT NULL COMMENT 书名支持中文, author VARCHAR(100) NOT NULL COMMENT 作者允许多作者逗号分隔, publisher VARCHAR(100) DEFAULT NULL COMMENT 出版社, publish_date DATE DEFAULT NULL COMMENT 出版日期, category_id INT(11) NOT NULL COMMENT 外键关联分类字典, stock_total INT(11) NOT NULL DEFAULT 0 COMMENT 总馆藏数, stock_available INT(11) NOT NULL DEFAULT 0 COMMENT 当前可借数量实时更新, create_time DATETIME DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (book_id), UNIQUE KEY uk_isbn (isbn), KEY idx_category (category_id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT图书基本信息表;关键参数说明book_id用自增整型而非 UUID教学场景下学生易理解、SQL 查询简洁WHERE book_id ?且避免 UUID 无序插入导致的 B 树分裂isbn加UNIQUE KEY强制同一本书只录入一次但允许不同版次用不同 ISBN 区分stock_available独立于stock_total这是借阅系统的核心状态字段所有借/还操作必须原子更新此值避免超借后文 Servlet 会演示UPDATE ... SET stock_available stock_available - 1 WHERE book_id ? AND stock_available 0category_id外键指向字典表教学中要求学生手动维护分类如“计算机科学”“文学”而非硬编码字符串培养规范化设计意识。2.2 分类字典表book_category为什么不用 ENUMCREATE TABLE book_category ( category_id INT(11) NOT NULL AUTO_INCREMENT, category_name VARCHAR(50) NOT NULL COMMENT 分类名称如人工智能, parent_id INT(11) DEFAULT 0 COMMENT 父分类ID支持两级分类, sort_order TINYINT(4) DEFAULT 0 COMMENT 排序权重数字越小越靠前, PRIMARY KEY (category_id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4;教学深意用独立字典表而非ENUM(计算机,文学,经济)是因为教学项目必然涉及“后台管理添加新分类”功能。ENUM 修改需ALTER TABLE而字典表只需INSERT INTO book_category学生能直观理解“数据驱动配置”的思想。parent_id字段为后续扩展三级分类留接口但当前项目仅用两级降低初学者理解负担。2.3 用户与借阅记录复合主键与状态机设计-- 用户表简化版仅含借阅所需字段 CREATE TABLE user ( user_id INT(11) NOT NULL AUTO_INCREMENT, username VARCHAR(50) NOT NULL UNIQUE, password VARCHAR(100) NOT NULL COMMENT BCRYPT 加密存储, real_name VARCHAR(50) DEFAULT NULL, role ENUM(student,teacher,admin) DEFAULT student, PRIMARY KEY (user_id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4; -- 借阅记录表核心业务表设计最需谨慎 CREATE TABLE borrow_record ( record_id BIGINT(20) NOT NULL AUTO_INCREMENT COMMENT 借阅流水号, user_id INT(11) NOT NULL COMMENT 借阅人, book_id INT(11) NOT NULL COMMENT 所借图书, borrow_date DATE NOT NULL COMMENT 借出日期, return_date DATE DEFAULT NULL COMMENT 归还日期NULL 表示未还, status TINYINT(4) NOT NULL DEFAULT 0 COMMENT 0:已借出, 1:已归还, 2:已逾期, 3:已挂失, create_time DATETIME DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (record_id), UNIQUE KEY uk_user_book_active (user_id, book_id) COMMENT 同一用户同一本书只能有一条未还记录, KEY idx_user_status (user_id, status), KEY idx_book_status (book_id, status), CONSTRAINT fk_borrow_user FOREIGN KEY (user_id) REFERENCES user (user_id) ON DELETE CASCADE, CONSTRAINT fk_borrow_book FOREIGN KEY (book_id) REFERENCES book (book_id) ON DELETE RESTRICT ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT借阅流水记录表;为什么uk_user_book_active是复合唯一索引这是防止学生重复点击“借阅”按钮导致同本书生成多条未还记录的关键防线。当执行INSERT INTO borrow_record (user_id, book_id, ...) VALUES (?, ?, ...)时若该用户已借此书且return_date IS NULL数据库直接报Duplicate entry 1001-205 for key uk_user_book_activeServlet 层捕获此异常即可返回友好提示“您已借阅此书尚未归还”。比在 Java 代码里查库再判断更可靠、更高效。status字段为何用TINYINT而非VARCHAR教学中强调“状态机”概念借阅流程只有明确有限的状态0/1/2/3用数字便于 SQL 条件查询WHERE status IN (0,2)查所有未还/逾期记录也避免字符串拼写错误如borrowedvsBorrowed。后续 JSP 页面显示状态文字时用 EL 表达式${statusMap[record.status]}映射即可分离数据与展示。3. Servlet 控制层三个核心 Servlet 的职责切分与线程安全陷阱Servlet 不是万能胶必须严格遵循“一个 Servlet 对应一个明确业务动作”的教学原则。我们聚焦最易出错的借阅BorrowServlet、归还ReturnServlet和图书搜索BookSearchServlet直击doPost方法里的血泪经验。3.1 BorrowServlet借阅操作的原子性保障WebServlet(/borrow) public class BorrowServlet extends HttpServlet { private static final long serialVersionUID 1L; Override protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { // 1. 获取参数教学重点验证非空与类型转换 String bookIdStr request.getParameter(bookId); String userIdStr request.getParameter(userId); // 实际项目应从 session 取此处为演示简化 if (bookIdStr null || userIdStr null || bookIdStr.trim().isEmpty() || userIdStr.trim().isEmpty()) { request.setAttribute(error, 参数缺失); request.getRequestDispatcher(/error.jsp).forward(request, response); return; } int bookId, userId; try { bookId Integer.parseInt(bookIdStr); userId Integer.parseInt(userIdStr); } catch (NumberFormatException e) { request.setAttribute(error, 图书ID或用户ID格式错误); request.getRequestDispatcher(/error.jsp).forward(request, response); return; } // 2. 业务逻辑必须在同一个数据库事务中完成 Connection conn null; PreparedStatement psBook null; PreparedStatement psRecord null; try { conn DBUtil.getConnection(); // 自定义工具类确保每次获取新连接 conn.setAutoCommit(false); // 关键开启事务 // 步骤1检查图书是否可借stock_available 0并扣减库存 String sqlBook UPDATE book SET stock_available stock_available - 1 WHERE book_id ? AND stock_available 0; psBook conn.prepareStatement(sqlBook); psBook.setInt(1, bookId); int updatedRows psBook.executeUpdate(); if (updatedRows 0) { throw new RuntimeException(图书库存不足无法借阅); } // 步骤2插入借阅记录利用复合唯一索引防重 String sqlRecord INSERT INTO borrow_record (user_id, book_id, borrow_date, status) VALUES (?, ?, CURDATE(), 0); psRecord conn.prepareStatement(sqlRecord, Statement.RETURN_GENERATED_KEYS); psRecord.setInt(1, userId); psRecord.setInt(2, bookId); psRecord.executeUpdate(); conn.commit(); // 两步都成功才提交 request.setAttribute(message, 借阅成功); request.getRequestDispatcher(/success.jsp).forward(request, response); } catch (Exception e) { if (conn ! null) { try { conn.rollback(); // 回滚否则库存扣了但记录没写数据不一致 } catch (SQLException ex) { ex.printStackTrace(); } } request.setAttribute(error, 借阅失败 e.getMessage()); request.getRequestDispatcher(/error.jsp).forward(request, response); } finally { // 必须关闭资源教学中强调“finally 块是最后防线” DBUtil.close(psRecord, psBook, conn); } } }玄学时刻为什么conn.setAutoCommit(false)不能放在DBUtil.getConnection()里因为DBUtil.getConnection()是通用方法可能被登录、查询等无需事务的操作调用。若在此处默认设为 false其他 Servlet 忘记commit()就会导致连接长期占用最终数据库连接池耗尽。教学中必须让学生亲手写下setAutoCommit(false)和commit()理解事务边界的显式控制。3.2 ReturnServlet时间计算与状态更新的双重校验WebServlet(/return) public class ReturnServlet extends HttpServlet { Override protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { String recordIdStr request.getParameter(recordId); if (recordIdStr null || recordIdStr.trim().isEmpty()) { request.setAttribute(error, 记录ID缺失); request.getRequestDispatcher(/error.jsp).forward(request, response); return; } int recordId; try { recordId Integer.parseInt(recordIdStr); } catch (NumberFormatException e) { request.setAttribute(error, 记录ID格式错误); request.getRequestDispatcher(/error.jsp).forward(request, response); return; } Connection conn null; PreparedStatement psUpdate null; PreparedStatement psBook null; try { conn DBUtil.getConnection(); conn.setAutoCommit(false); // 步骤1更新借阅记录状态和归还日期 String sqlUpdate UPDATE borrow_record SET return_date CURDATE(), status 1 WHERE record_id ? AND status 0; // 关键只允许从未还状态更新 psUpdate conn.prepareStatement(sqlUpdate); psUpdate.setInt(1, recordId); int updated psUpdate.executeUpdate(); if (updated 0) { throw new RuntimeException(归还失败记录不存在或状态异常可能已归还/挂失); } // 步骤2查询对应图书ID增加库存 String sqlSelectBook SELECT book_id FROM borrow_record WHERE record_id ?; PreparedStatement psSelect conn.prepareStatement(sqlSelectBook); psSelect.setInt(1, recordId); ResultSet rs psSelect.executeQuery(); if (!rs.next()) { throw new RuntimeException(找不到对应借阅记录); } int bookId rs.getInt(book_id); String sqlBook UPDATE book SET stock_available stock_available 1 WHERE book_id ?; psBook conn.prepareStatement(sqlBook); psBook.setInt(1, bookId); psBook.executeUpdate(); conn.commit(); request.setAttribute(message, 归还成功); request.getRequestDispatcher(/success.jsp).forward(request, response); } catch (Exception e) { if (conn ! null) { try { conn.rollback(); } catch (SQLException ex) { ex.printStackTrace(); } } request.setAttribute(error, 归还失败 e.getMessage()); request.getRequestDispatcher(/error.jsp).forward(request, response); } finally { DBUtil.close(psUpdate, psBook, conn); } } }翻车现场为什么UPDATE borrow_record的 WHERE 条件必须包含AND status 0这是防止“重复归还”和“状态越权更新”的核心校验。若没有此条件恶意用户修改 URL 参数将record_id123改为record_id456可能把别人的记录状态强行改为“已归还”。加上status 0意味着只有当前状态为“已借出”的记录才允许更新数据库层面兜底。3.3 BookSearchServlet模糊搜索的性能与安全平衡WebServlet(/search) public class BookSearchServlet extends HttpServlet { Override protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { String keyword request.getParameter(q); if (keyword null || keyword.trim().isEmpty()) { request.setAttribute(books, new ArrayList()); request.getRequestDispatcher(/book_list.jsp).forward(request, response); return; } // 教学重点防止 SQL 注入必须用 PreparedStatement禁用字符串拼接 String sql SELECT b.*, c.category_name FROM book b LEFT JOIN book_category c ON b.category_id c.category_id WHERE b.title LIKE ? OR b.author LIKE ? OR b.isbn LIKE ? ORDER BY b.create_time DESC LIMIT 20; ListBook books new ArrayList(); Connection conn null; PreparedStatement ps null; ResultSet rs null; try { conn DBUtil.getConnection(); ps conn.prepareStatement(sql); // 使用 %keyword% 实现模糊搜索但注意前端需做长度限制如 max-length50 String likeKeyword % keyword.trim() %; ps.setString(1, likeKeyword); ps.setString(2, likeKeyword); ps.setString(3, likeKeyword); rs ps.executeQuery(); while (rs.next()) { Book book new Book(); book.setBookId(rs.getInt(book_id)); book.setTitle(rs.getString(title)); book.setAuthor(rs.getString(author)); book.setIsbn(rs.getString(isbn)); book.setCategoryName(rs.getString(category_name)); book.setStockAvailable(rs.getInt(stock_available)); books.add(book); } } catch (Exception e) { e.printStackTrace(); } finally { DBUtil.close(rs, ps, conn); } request.setAttribute(books, books); request.setAttribute(keyword, keyword); // 用于 JSP 中回显搜索框 request.getRequestDispatcher(/book_list.jsp).forward(request, response); } }黑匣子警告为什么LIKE ?比CONCAT(%, ?, %)更安全CONCAT(%, ?, %)在某些 MySQL 驱动版本中可能导致 PreparedStatement 参数绑定失效退化为字符串拼接埋下 SQL 注入隐患。而LIKE ?将完整带%的字符串作为参数值传入由 JDBC 驱动原生处理是经过充分验证的安全模式。教学中必须让学生抄写这个模板形成肌肉记忆。4. JSP 视图层EL 表达式、JSTL 标签与页面跳转的隐式契约JSP 不是 HTML它的每一行 EL 表达式都在和 Servlet 的request.setAttribute()做隐式握手。这里不讲语法只讲三个学生最容易栽跟头的“契约断裂点”。4.1 登录页login.jsp表单 action 为何必须写login而非/login!-- login.jsp -- form actionlogin methodpost input typetext nameusername required input typepassword namepassword required button typesubmit登录/button /form现象学生常写成action/login结果点击提交后 404。原因/login是绝对路径从域名根目录开始找而login是相对路径相对于当前 JSP 所在路径。假设项目上下文路径是/library当前访问http://localhost:8080/library/login.jsp则actionlogin会提交到http://localhost:8080/library/login正确而action/login会提交到http://localhost:8080/login404。解决统一使用相对路径或更规范地用${pageContext.request.contextPath}/login需在 web.xml 中配置url-pattern/login/url-pattern。4.2 图书列表页book_list.jspJSTLc:forEach的空集合陷阱% taglib prefixc urihttp://java.sun.com/jsp/jstl/core % % page contentTypetext/html;charsetUTF-8 languagejava % c:if test${empty books} p暂无图书请先添加。/p /c:if c:forEach items${books} varbook div classbook-item h3${book.title}/h3 p作者${book.author}/p pISBN${book.isbn}/p p分类c:out value${book.categoryName}//p p可借数量c:out value${book.stockAvailable}//p c:choose c:when test${book.stockAvailable 0} a hrefborrow?bookId${book.bookId}借阅/a /c:when c:otherwise span classunavailable暂不可借/span /c:otherwise /c:choose /div /c:forEach现象当books为null时c:forEach报NullPointerException页面白屏。原因c:forEach的items属性要求必须是Collection或数组null不符合契约。解决Servlet 中永远确保request.setAttribute(books, list)的list是一个空ArrayList而非null。即ListBook books dao.search(keyword); if (books null) books new ArrayList();。JSP 层用empty判断更安全。4.3 错误页error.jsp如何让错误信息“活”起来% page contentTypetext/html;charsetUTF-8 languagejava % !DOCTYPE html html headtitle操作失败/title/head body h2操作失败/h2 pstrong错误信息/strong ${error}/p pa href${pageContext.request.header.referer}返回上一页/a | a href${pageContext.request.contextPath}/index.jsp回到首页/a/p /body /html后悔药技巧${pageContext.request.header.referer}能自动获取用户从哪页跳转过来点击“返回上一页”即可无缝回退比硬编码hrefjavascript:history.back()更可靠后者在跨域或刷新后失效。这是 JSP 提供的“隐形 API”教学中值得点明。5. 避坑指南五个让新手调试到凌晨三点的真实问题教学项目中最消耗学生心力的往往不是逻辑而是环境与配置的“幽灵错误”。以下是我在某高校实训课上收集的高频翻车现场按“现象→原因→解决”结构整理每一条都来自真实血泪。5.1 现象Tomcat 启动后访问http://localhost:8080/library/显示 404但http://localhost:8080/library/login.jsp能打开原因web.xml中未配置 welcome-file-list或配置了但文件名大小写错误如index.jsp写成Index.jsp。Linux 服务器严格区分大小写Windows 开发机不敏感导致本地能跑线上报 404。解决在web.xml的web-app根节点内添加welcome-file-list welcome-fileindex.jsp/welcome-file /welcome-file-list并确认index.jsp文件名全小写且位于WebContent/根目录下。5.2 现象登录成功后跳转到http://localhost:8080/library/welcome.jsp但页面显示HTTP Status 404浏览器地址栏 URL 正确原因welcome.jsp中使用了session.getAttribute(user)获取用户信息但LoginServlet中request.getSession().setAttribute(user, user)后未执行response.sendRedirect()或request.getRequestDispatcher().forward()而是直接out.print(登录成功)导致 session 未传递到下一个请求。解决LoginServlet必须用重定向response.sendRedirect(welcome.jsp)或转发request.getRequestDispatcher(welcome.jsp).forward(request, response)禁止直接输出 HTML。重定向更推荐因它生成新请求确保 session 生效。5.3 现象在BookSearchServlet中输入中文关键词搜索返回空结果但数据库里明明有匹配数据原因MySQL 连接 URL 缺少字符集参数如jdbc:mysql://localhost:3306/library?useUnicodetruecharacterEncodingUTF-8。缺少characterEncodingUTF-8时JDBC 驱动默认用 ISO-8859-1 解码请求参数中文变乱码。解决检查DBUtil.getConnection()中的 JDBC URL确保包含characterEncodingUTF-8并在 MySQL 服务端确认库、表、字段均为utf8mb4字符集SHOW CREATE TABLE book;。5.4 现象借阅成功后book表stock_available减少了但borrow_record表无新增记录且无任何错误日志原因BorrowServlet中psRecord.executeUpdate()后未调用psRecord.getGeneratedKeys()虽本例未用但更可能是conn.commit()被异常吞掉。常见于catch块中只打印e.printStackTrace()却未throw new ServletException(e)导致 Tomcat 认为请求成功实际事务已回滚。解决在catch块末尾添加throw new ServletException(借阅事务异常, e);强制 Tomcat 记录错误并确保rollback()执行后抛出异常中断流程。5.5 现象web.xml配置了Filter用于登录拦截但访问login.jsp时被重定向到login.jsp本身无限循环原因Filter的doFilter方法中对login.jsp的放行逻辑写成了if (uri.endsWith(login.jsp)) { chain.doFilter(request, response); return; }但uri值为/library/login.jsp含上下文路径而endsWith(login.jsp)为false。解决改用uri.contains(login.jsp)或更严谨地uri.equals(request.getContextPath() /login.jsp)。教学中强调HttpServletRequest.getRequestURI()返回的是带上下文路径的完整 URI不是文件名。6. 进阶技巧用 Filter 实现登录态拦截与角色路由让系统真正“活”起来一个合格的教学系统不能只满足于功能跑通更要体现 Web 开发的核心范式——横切关注点Cross-Cutting Concern的解耦。登录拦截就是最典型的例子。与其在每个 Servlet 里写if (session.getAttribute(user) null) { response.sendRedirect(login.jsp); return; }不如用 Filter 统一处理。这不仅是代码复用更是向学生传递“关注点分离”的工程思想。6.1 LoginFilter拦截规则与放行白名单WebFilter(/*) public class LoginFilter implements Filter { private static final ListString EXCLUDE_PATHS Arrays.asList( /login.jsp, /login, /register.jsp, /register, /css/, /js/, /images/, /favicon.ico ); Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { HttpServletRequest req (HttpServletRequest) request; HttpServletResponse resp (HttpServletResponse) response; String uri req.getRequestURI(); String contextPath req.getContextPath(); // 1. 检查是否在放行白名单内 boolean isExcluded EXCLUDE_PATHS.stream() .anyMatch(exclude - uri.equals(contextPath exclude) || uri.startsWith(contextPath exclude)); if (isExcluded) { chain.doFilter(request, response); return; } // 2. 检查 session 中是否有用户 HttpSession session req.getSession(false); Object user (session ! null) ? session.getAttribute(user) : null; if (user null) { // 未登录重定向到登录页并携带原始请求路径作为参数 String targetUrl uri; if (req.getQueryString() ! null) { targetUrl ? req.getQueryString(); } resp.sendRedirect(contextPath /login.jsp?redirect URLEncoder.encode(targetUrl, UTF-8)); } else { // 已登录放行 chain.doFilter(request, response); } } }关键设计点白名单EXCLUDE_PATHS用String而非正则教学中避免引入额外复杂度且startsWith和equals性能足够URLEncoder.encode(targetUrl, UTF-8)确保重定向 URL 中的中文、斜杠等特殊字符被正确编码避免redirect/book/search?qJava编程解析失败req.getSession(false)false表示不创建新 session避免未登录用户也生成无用 session节省服务器内存。6.2 登录成功后的智能跳转从redirect参数还原请求// LoginServlet 中登录成功后的跳转逻辑 String redirect request.getParameter(redirect); if (redirect ! null !redirect.trim().isEmpty()) { try { redirect URLDecoder.decode(redirect, UTF-8); // 安全校验只允许跳转到本应用内路径 if (redirect.startsWith(request.getContextPath()) !redirect.contains(://)) { response.sendRedirect(redirect); return; } } catch (UnsupportedEncodingException e) { // 解码失败降级到首页 } } response.sendRedirect(request.getContextPath() /welcome.jsp);安全加固!redirect.contains(://)检查防止开放重定向漏洞Open Redirect避免攻击者构造redirecthttp://evil.com。6.3 角色路由管理员与普通用户的菜单分流在welcome.jsp中根据用户角色动态渲染导航栏% taglib prefixc urihttp://java.sun.com/jsp/jstl/core % c:set varuser value${sessionScope.user} / nav a href${pageContext.request.contextPath}/index.jsp首页/a a href${pageContext.request.contextPath}/book_search.jsp图书搜索/a c:if test${user.role admin} a href${pageContext.request.contextPath}/admin/book_manage.jsp图书管理/a a href${pageContext.request.contextPath}/admin/user_manage.jsp用户管理/a /c:if a href${pageContext.request.contextPath}/logout退出登录/a /nav教学价值sessionScope.user直接访问 session 属性user.role调用 User 对象的getRole()方法让学生看到 EL 表达式如何穿透对象层级。这种基于角色的 UI 分流是权限控制的第一步为后续引入 RBAC 埋下伏笔。我带过的每一届学生在亲手实现这个 Filter 后都会突然理解“为什么 Spring MVC 有 Interceptor”、“为什么 Vue Router 有 beforeEach 钩子”。技术演进的本质从来不是推翻旧范式而是用更高阶的抽象封装这些已被验证的模式。这个 JSPServletMySQL 的图书馆系统就像一把磨得锃亮的瑞士军刀——它不追求最新但每一个齿刃都精准咬合在教学与工程的真实需求上。希望帮到你。本文还有配套的精品资源点击获取