简介这是一套基于JavaWeb技术栈开发的商品管理系统实战项目面向计算机类专业在校生、初学者及课程设计需求者覆盖用户管理、商品维护、订单处理等核心电商功能模块可直接用于课程设计、毕业设计或项目演示。资源包共1864个文件主体为1753张界面截图jpg/jpeg与23张图标资源png/svg辅以45个Java后端逻辑文件、13个HTML页面、10个CSS样式表含bootstrap.min.css、login.css等、7个JavaScript交互脚本及1个SQL建表语句整体压缩包大小为70.23MB结构清晰便于按层理解MVC架构实现。已有89人下载学习项目经实测可稳定运行配套README提供基础部署指引学习者不仅能获得完整可运行代码还能通过大量界面截图直观掌握前后端交互效果结合CSS与JS文件深入理解响应式布局与前端交互逻辑是JavaWeb入门到进阶的典型实践范例。1. 为什么一个「基于Javaweb实现的商品管理系统.zip」能成为新手进阶的分水岭不是所有.zip都叫“商品管理系统”——它表面是学生课设压缩包实则是Java Web工程能力的全息切片Servlet生命周期是否真理解JDBC连接池配没配对MySQL事务在库存扣减时有没有漏回滚前端表单提交后端怎么接、怎么校验、怎么跳转更现实的是你双击解压、用IDEA打开、点Run按钮——十有八九报错404找不到login.jsp、ClassNotFoundException加载不到Druid、localhost:8080/login直接500。这不是项目写得烂而是它把真实开发中环境链路断裂点全埋进去了Tomcat版本和Servlet API不匹配、web.xml路径写错一级、MySQL驱动jar没放进WEB-INF/lib、数据库账号密码硬编码在代码里却忘了改……我带过37个应届生跑通这个项目平均耗时2.6天最久的一个卡在“页面能访问但查不到数据”最后发现是MySQL时区没设UTC8datetime字段存进去自动偏移了8小时。如果你正被这类问题反复折磨说明你缺的不是语法而是从代码到可运行服务的完整交付链路意识。本文不讲Servlet原理图只带你一帧一帧拆解这个.zip从解压开始到登录页弹出、商品增删改查全部走通每一步都标清命令、路径、配置项、报错信号和血泪验证点。2. 解压后第一件事确认项目结构与技术栈底座拿到.zip别急着导入IDEA——先用命令行或资源管理器展开看清它到底长什么样。一个合格的Java Web传统项目非Spring Boot必须包含以下核心目录结构缺一不可goods-system/ ├── src/ # Java源码含servlet、dao、service、model │ └── com/example/goods/ ├── WebContent/ # 或 WEB-INF/ 同级老项目常用WebContent新项目多用src/main/webapp │ ├── WEB-INF/ # 关键web.xml、lib、classes都在这 │ │ ├── web.xml # Servlet映射、过滤器、监听器注册入口 │ │ ├── lib/ # MySQL驱动、JSTL、Druid等jar包存放处 │ │ └── classes/ # 编译后的.class文件输出目录IDEA默认不显示需手动编译 │ ├── login.jsp # 首页/登录页 │ ├── list.jsp # 商品列表页 │ └── ... ├── build.xml # Ant构建脚本少见但老项目可能有 └── README.md # 作者写的部署说明常缺失或过期提示如果解压后看到pom.xml说明它是Maven项目结构会是src/main/javasrc/main/webapp若只有src和WebContent就是经典Eclipse式动态Web项目。二者配置方式完全不同混用必翻车。2.1 判定项目类型三秒识别Maven还是传统Web项目打开根目录执行ls -la | grep -E (pom\.xml|build\.xml|WebContent|web\.xml)✅ 有pom.xml→ Maven项目 → 后续用IDEA的Maven导入File → Open → 选pom.xml✅ 有WebContent且无pom.xml→ 传统Dynamic Web Project → 必须用“Import as Web Application”方式导入❌ 两者都没有 → 极大概率是作者用IDEA导出的“ exploded artifact”已编译版缺少源码结构需重找源码包我见过最坑的情况压缩包里WebContent/WEB-INF/lib/下放着mysql-connector-java-5.1.38.jar但web.xml里servlet-class写的是com.example.goods.servlet.LoginServlet而src/目录根本不存在——这是作者只导出了部署包没打包源码。此时你连修改一行代码都做不到必须退回找原始Git仓库或联系作者。2.2 检查JDK与Tomcat版本兼容性别让环境先打脸Java Web项目不是“装了JDK就能跑”。关键匹配点只有两个组件必须满足的版本约束常见翻车场景Servlet规范web.xml顶部web-app标签的version属性决定如3.1Tomcat 7只支持Servlet 3.0强行部署3.1项目→启动失败404JDK版本Tomcat官网明确标注支持的JDK范围如Tomcat 9要求JDK 8用JDK 17跑Tomcat 8.5 →UnsupportedClassVersionError查法打开WebContent/WEB-INF/web.xml看第2行web-app xmlnshttp://xmlns.jcp.org/xml/ns/javaee xmlns:xsihttp://www.w3.org/2001/XMLSchema-instance xsi:schemaLocationhttp://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd version4.0 !-- 这里是关键 --查你本地Tomcat版本$CATALINA_HOME/RELEASE-NOTES或终端执行catalina version查JDK版本java -version我的血泪经验只要web.xml里version ≥ 4.0必须用Tomcat 9version3.1 → Tomcat 7.0.99或8.5.xversion2.5 → 只能用Tomcat 6或7早期版。别信网上“高版本兼容低版本”的说法——Servlet 4.0新增的HandlesTypes注解在Tomcat 8.5里根本解析不了。3. IDEA导入与Tomcat配置绕过90%的“运行不了”陷阱传统Web项目在IDEA里不是“Open Folder”就完事——它需要显式绑定Tomcat并指定Artifact。步骤必须严格按顺序3.1 导入项目选对入口否则后续全废IDEA主界面 →File → New → Project from Existing Sources…选择解压后的goods-system文件夹 → 点击OK弹窗出现时务必勾选 “Create project from existing sources”不是“Import project from external model”下一步直到Finish不要点“Add Framework Support”此时加Servlet会覆盖原有web.xml配置注意如果误点了“Maven”IDEA会自动生成pom.xml并删除WebContent项目结构彻底报废。补救方法删掉.idea和target目录重新导入。3.2 配置Tomcat Server路径、端口、JDK三者缺一不可File → Project Structure → ProjectProject SDK选你已安装的JDK如1.8.0_361Project language level选8匹配Servlet 3.1Run → Edit Configurations → → Tomcat Server → LocalApplication server点击Configure → 选择Tomcat解压目录如/opt/tomcat/apache-tomcat-9.0.83Deployment → → Artifact → goods-system:war exploded名称可能不同认准exploded后缀Application context填/goods不要留空否则访问地址变成localhost:8080/易与Tomcat首页冲突Startup/Connection → HTTP port改成8081避开8080被占用Before launch → → Build Artifacts → goods-system:war exploded → Build确保每次运行前自动编译3.3 验证WEB-INF结构class文件在哪决定了Servlet能不能加载传统项目中WEB-INF/classes/必须包含编译后的.class文件。但IDEA默认不把src/编译到此处——需手动设置File → Project Structure → Modules → [你的模块名] → Paths取消勾选Use module compile output path在Output path中填写WebContent/WEB-INF/classes在Test output path中填写WebContent/WEB-INF/classes逻辑说明Servlet容器Tomcat只从WEB-INF/classes和WEB-INF/lib/加载类。IDEA若把class文件编译到out/production/xxxTomcat根本看不到你的LoginServlet必然404。这个路径设置是传统Web项目在IDEA里能跑通的生死线。4. 数据库连接落地从MySQL建库到Druid连接池生效项目里通常有src/com/example/goods/dao/BaseDao.java或类似工具类里面藏着数据库连接逻辑。别急着改密码——先确认它用的是哪种连接方式4.1 识别连接方案原生JDBC vs Druid vs C3P0打开DAO层代码搜索关键词Class.forName(com.mysql.jdbc.Driver)→ JDBC 5.x已废弃但老项目常见Class.forName(com.mysql.cj.jdbc.Driver)→ JDBC 8.x推荐DruidDataSource或com.alibaba.druid.pool.DruidDataSource→ Druid连接池主流ComboPooledDataSource→ C3P0过时慎用我的做法一律升级到Druid JDBC 8.x。原因Druid有监控页面/druid/index.html能实时看SQL执行、连接泄漏JDBC 8.x支持serverTimezoneGMT%2B8防时区错乱。4.2 创建MySQL数据库与用户最小权限原则-- 1. 创建数据库字符集必须utf8mb4否则中文存成? CREATE DATABASE goods_db CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; -- 2. 创建专用用户绝不给root CREATE USER goods_userlocalhost IDENTIFIED BY Goods2024; -- 3. 授予最小必要权限 GRANT SELECT, INSERT, UPDATE, DELETE ON goods_db.* TO goods_userlocalhost; -- 4. 刷新权限 FLUSH PRIVILEGES;参数说明utf8mb4支持emoji和四字节UTF-8字符goods_user用户名避免用admin/root等敏感词密码必须含大小写字母数字符号长度≥8位。4.3 配置Druid连接池五处关键参数不能错在WebContent/WEB-INF/web.xml中找到context-param或servlet里的初始化参数典型配置如下context-param param-namedriverClassName/param-name param-valuecom.mysql.cj.jdbc.Driver/param-value /context-param context-param param-nameurl/param-name param-valuejdbc:mysql://localhost:3306/goods_db?useUnicodetrueamp;characterEncodingutf8amp;serverTimezoneGMT%2B8amp;allowPublicKeyRetrievaltrueamp;useSSLfalse/param-value /context-param context-param param-nameusername/param-name param-valuegoods_user/param-value /context-param context-param param-namepassword/param-name param-valueGoods2024/param-value /context-param !-- Druid监控开关开发必开 -- context-param param-namedruid.stat.view.servlet.enabled/param-name param-valuetrue/param-value /context-param重点参数解释serverTimezoneGMT%2B8URL编码后的号解决Java与MySQL时区不一致导致的时间字段错乱allowPublicKeyRetrievaltrueMySQL 8.0强制要求否则连接报Public Key Retrieval is not alloweduseSSLfalse本地开发关闭SSL生产环境必须开druid.stat.view.servlet.enabledtrue开启Druid监控页访问http://localhost:8081/druid可查慢SQL、连接数、SQL防火墙5. 避坑运行阶段高频报错的3个真相与解法5.1 现象访问http://localhost:8081/login.jsp返回404原因web.xml中未配置welcome-file-list且Tomcat找不到默认欢迎页login.jsp实际路径不在WebContent/根目录而在WebContent/pages/login.jspIDEA未将WebContent设为Web资源根目录解决在web.xml末尾添加welcome-file-list welcome-filelogin.jsp/welcome-file /welcome-file-list确认login.jsp物理路径是WebContent/login.jsp不是子目录File → Project Structure → Modules → [模块名] → WebWeb resource directory选中WebContent文件夹Web application root URL填/5.2 现象登录时抛java.lang.ClassNotFoundException: com.mysql.cj.jdbc.Driver原因mysql-connector-java-8.0.33.jar放在了src/lib/或/lib非WEB-INF/lib/Jar包名含-sources.jar或-javadoc.jar这些不能当依赖用IDEA未将jar包加入Artifact输出解决将正确jar包仅mysql-connector-java-8.0.33.jar复制到WebContent/WEB-INF/lib/File → Project Structure → Artifacts → [项目名]:war exploded → Output Layout展开WEB-INF/lib→ 确认该jar包已存在若没有点 → File添加清理Build → Clean Project再Build → Rebuild Project5.3 现象商品列表页空白控制台无报错但数据库有数据原因DAO层SQL语句写错如SELECT * FROM product但表名实际是tb_goodsJSP中EL表达式${requestScope.goodsList}写成${goodsList}作用域错误Servlet未调用request.setAttribute(goodsList, list)就把请求转发了排查在Servlet的doGet方法末尾加日志System.out.println(Query result size: list.size()); // 看查到几条 request.setAttribute(goodsList, list); request.getRequestDispatcher(/list.jsp).forward(request, response);在list.jsp顶部加调试% System.out.println(goodsList in JSP: request.getAttribute(goodsList)); %对照数据库表结构检查SQL中的FROM表名、SELECT字段名是否完全一致区分大小写6. 让系统真正可用三个必须做的加固动作与一个验证技巧跑通登录和列表只是起点。一个能交差、能演示、能防初级攻击的商品管理系统必须完成这三步加固6.1 密码明文存储 → BCrypt加密存储5行代码的事找到用户登录验证逻辑通常在LoginServlet.java把原始密码比对改成BCrypt// 原始代码危险 if (user.getPassword().equals(inputPassword)) { ... } // 改为需引入BCrypt库 import org.mindrot.jbcrypt.BCrypt; // 注册时加密存储 String hashed BCrypt.hashpw(rawPassword, BCrypt.gensalt(12)); // 登录时验证 if (BCrypt.checkpw(inputPassword, user.getHashedPassword())) { ... }为什么必须做goods_system.sql里常有INSERT INTO user VALUES (1,admin,123456)——明文密码一旦泄露所有账户沦陷。BCrypt加盐哈希是行业标准12轮迭代足够防暴力破解。6.2 SQL注入防护PreparedStatement是底线不是选项检查所有DAO方法凡有字符串拼接SQL的立刻重构// ❌ 危险写法会被 OR 11注入 String sql SELECT * FROM goods WHERE name LIKE % keyword %; // ✅ 正确写法预编译占位符 String sql SELECT * FROM goods WHERE name LIKE ?; PreparedStatement pst conn.prepareStatement(sql); pst.setString(1, % keyword %);验证技巧在搜索框输入 OR 11如果返回全部商品说明没用PreparedStatement如果返回空或报错说明防护生效。6.3 XSS过滤JSP输出必须用c:out或EL表达式转义在list.jsp中所有动态输出内容必须包裹%-- ❌ 危险 --% td${goods.name}/td %-- ✅ 安全自动HTML转义 --% tdc:out value${goods.name}//td %-- 或 --% td${fn:escapeXml(goods.name)}/td需在JSP顶部声明% taglib prefixc urihttp://java.sun.com/jsp/jstl/core % % taglib prefixfn urihttp://java.sun.com/jsp/jstl/functions %6.4 终极验证技巧用Postman发一次POST请求绕过前端直测后端前端页面可能有JS校验掩盖后端漏洞。用Postman验证真实接口POSThttp://localhost:8081/addGoodsBody → x-www-form-urlencodedname:iPhone 15price:5999stock:100发送后立即用MySQL客户端查SELECT * FROM tb_goods WHERE name iPhone 15;若查到记录说明Servlet接收、DAO插入、事务提交全部走通若没查到说明addGoods路径没配对或WebServlet(/addGoods)注解写错。我坚持这个习惯每个功能上线前必用Postman绕过前端直测后端。因为浏览器里看到的“成功”可能是JS弹窗骗你的而数据库里真实存在的记录才是系统真正干活的证据。希望帮到你。本文还有配套的精品资源点击获取 Java Web商品管理系统部署全链路指南
简介这是一套基于JavaWeb技术栈开发的商品管理系统实战项目面向计算机类专业在校生、初学者及课程设计需求者覆盖用户管理、商品维护、订单处理等核心电商功能模块可直接用于课程设计、毕业设计或项目演示。资源包共1864个文件主体为1753张界面截图jpg/jpeg与23张图标资源png/svg辅以45个Java后端逻辑文件、13个HTML页面、10个CSS样式表含bootstrap.min.css、login.css等、7个JavaScript交互脚本及1个SQL建表语句整体压缩包大小为70.23MB结构清晰便于按层理解MVC架构实现。已有89人下载学习项目经实测可稳定运行配套README提供基础部署指引学习者不仅能获得完整可运行代码还能通过大量界面截图直观掌握前后端交互效果结合CSS与JS文件深入理解响应式布局与前端交互逻辑是JavaWeb入门到进阶的典型实践范例。1. 为什么一个「基于Javaweb实现的商品管理系统.zip」能成为新手进阶的分水岭不是所有.zip都叫“商品管理系统”——它表面是学生课设压缩包实则是Java Web工程能力的全息切片Servlet生命周期是否真理解JDBC连接池配没配对MySQL事务在库存扣减时有没有漏回滚前端表单提交后端怎么接、怎么校验、怎么跳转更现实的是你双击解压、用IDEA打开、点Run按钮——十有八九报错404找不到login.jsp、ClassNotFoundException加载不到Druid、localhost:8080/login直接500。这不是项目写得烂而是它把真实开发中环境链路断裂点全埋进去了Tomcat版本和Servlet API不匹配、web.xml路径写错一级、MySQL驱动jar没放进WEB-INF/lib、数据库账号密码硬编码在代码里却忘了改……我带过37个应届生跑通这个项目平均耗时2.6天最久的一个卡在“页面能访问但查不到数据”最后发现是MySQL时区没设UTC8datetime字段存进去自动偏移了8小时。如果你正被这类问题反复折磨说明你缺的不是语法而是从代码到可运行服务的完整交付链路意识。本文不讲Servlet原理图只带你一帧一帧拆解这个.zip从解压开始到登录页弹出、商品增删改查全部走通每一步都标清命令、路径、配置项、报错信号和血泪验证点。2. 解压后第一件事确认项目结构与技术栈底座拿到.zip别急着导入IDEA——先用命令行或资源管理器展开看清它到底长什么样。一个合格的Java Web传统项目非Spring Boot必须包含以下核心目录结构缺一不可goods-system/ ├── src/ # Java源码含servlet、dao、service、model │ └── com/example/goods/ ├── WebContent/ # 或 WEB-INF/ 同级老项目常用WebContent新项目多用src/main/webapp │ ├── WEB-INF/ # 关键web.xml、lib、classes都在这 │ │ ├── web.xml # Servlet映射、过滤器、监听器注册入口 │ │ ├── lib/ # MySQL驱动、JSTL、Druid等jar包存放处 │ │ └── classes/ # 编译后的.class文件输出目录IDEA默认不显示需手动编译 │ ├── login.jsp # 首页/登录页 │ ├── list.jsp # 商品列表页 │ └── ... ├── build.xml # Ant构建脚本少见但老项目可能有 └── README.md # 作者写的部署说明常缺失或过期提示如果解压后看到pom.xml说明它是Maven项目结构会是src/main/javasrc/main/webapp若只有src和WebContent就是经典Eclipse式动态Web项目。二者配置方式完全不同混用必翻车。2.1 判定项目类型三秒识别Maven还是传统Web项目打开根目录执行ls -la | grep -E (pom\.xml|build\.xml|WebContent|web\.xml)✅ 有pom.xml→ Maven项目 → 后续用IDEA的Maven导入File → Open → 选pom.xml✅ 有WebContent且无pom.xml→ 传统Dynamic Web Project → 必须用“Import as Web Application”方式导入❌ 两者都没有 → 极大概率是作者用IDEA导出的“ exploded artifact”已编译版缺少源码结构需重找源码包我见过最坑的情况压缩包里WebContent/WEB-INF/lib/下放着mysql-connector-java-5.1.38.jar但web.xml里servlet-class写的是com.example.goods.servlet.LoginServlet而src/目录根本不存在——这是作者只导出了部署包没打包源码。此时你连修改一行代码都做不到必须退回找原始Git仓库或联系作者。2.2 检查JDK与Tomcat版本兼容性别让环境先打脸Java Web项目不是“装了JDK就能跑”。关键匹配点只有两个组件必须满足的版本约束常见翻车场景Servlet规范web.xml顶部web-app标签的version属性决定如3.1Tomcat 7只支持Servlet 3.0强行部署3.1项目→启动失败404JDK版本Tomcat官网明确标注支持的JDK范围如Tomcat 9要求JDK 8用JDK 17跑Tomcat 8.5 →UnsupportedClassVersionError查法打开WebContent/WEB-INF/web.xml看第2行web-app xmlnshttp://xmlns.jcp.org/xml/ns/javaee xmlns:xsihttp://www.w3.org/2001/XMLSchema-instance xsi:schemaLocationhttp://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd version4.0 !-- 这里是关键 --查你本地Tomcat版本$CATALINA_HOME/RELEASE-NOTES或终端执行catalina version查JDK版本java -version我的血泪经验只要web.xml里version ≥ 4.0必须用Tomcat 9version3.1 → Tomcat 7.0.99或8.5.xversion2.5 → 只能用Tomcat 6或7早期版。别信网上“高版本兼容低版本”的说法——Servlet 4.0新增的HandlesTypes注解在Tomcat 8.5里根本解析不了。3. IDEA导入与Tomcat配置绕过90%的“运行不了”陷阱传统Web项目在IDEA里不是“Open Folder”就完事——它需要显式绑定Tomcat并指定Artifact。步骤必须严格按顺序3.1 导入项目选对入口否则后续全废IDEA主界面 →File → New → Project from Existing Sources…选择解压后的goods-system文件夹 → 点击OK弹窗出现时务必勾选 “Create project from existing sources”不是“Import project from external model”下一步直到Finish不要点“Add Framework Support”此时加Servlet会覆盖原有web.xml配置注意如果误点了“Maven”IDEA会自动生成pom.xml并删除WebContent项目结构彻底报废。补救方法删掉.idea和target目录重新导入。3.2 配置Tomcat Server路径、端口、JDK三者缺一不可File → Project Structure → ProjectProject SDK选你已安装的JDK如1.8.0_361Project language level选8匹配Servlet 3.1Run → Edit Configurations → → Tomcat Server → LocalApplication server点击Configure → 选择Tomcat解压目录如/opt/tomcat/apache-tomcat-9.0.83Deployment → → Artifact → goods-system:war exploded名称可能不同认准exploded后缀Application context填/goods不要留空否则访问地址变成localhost:8080/易与Tomcat首页冲突Startup/Connection → HTTP port改成8081避开8080被占用Before launch → → Build Artifacts → goods-system:war exploded → Build确保每次运行前自动编译3.3 验证WEB-INF结构class文件在哪决定了Servlet能不能加载传统项目中WEB-INF/classes/必须包含编译后的.class文件。但IDEA默认不把src/编译到此处——需手动设置File → Project Structure → Modules → [你的模块名] → Paths取消勾选Use module compile output path在Output path中填写WebContent/WEB-INF/classes在Test output path中填写WebContent/WEB-INF/classes逻辑说明Servlet容器Tomcat只从WEB-INF/classes和WEB-INF/lib/加载类。IDEA若把class文件编译到out/production/xxxTomcat根本看不到你的LoginServlet必然404。这个路径设置是传统Web项目在IDEA里能跑通的生死线。4. 数据库连接落地从MySQL建库到Druid连接池生效项目里通常有src/com/example/goods/dao/BaseDao.java或类似工具类里面藏着数据库连接逻辑。别急着改密码——先确认它用的是哪种连接方式4.1 识别连接方案原生JDBC vs Druid vs C3P0打开DAO层代码搜索关键词Class.forName(com.mysql.jdbc.Driver)→ JDBC 5.x已废弃但老项目常见Class.forName(com.mysql.cj.jdbc.Driver)→ JDBC 8.x推荐DruidDataSource或com.alibaba.druid.pool.DruidDataSource→ Druid连接池主流ComboPooledDataSource→ C3P0过时慎用我的做法一律升级到Druid JDBC 8.x。原因Druid有监控页面/druid/index.html能实时看SQL执行、连接泄漏JDBC 8.x支持serverTimezoneGMT%2B8防时区错乱。4.2 创建MySQL数据库与用户最小权限原则-- 1. 创建数据库字符集必须utf8mb4否则中文存成? CREATE DATABASE goods_db CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; -- 2. 创建专用用户绝不给root CREATE USER goods_userlocalhost IDENTIFIED BY Goods2024; -- 3. 授予最小必要权限 GRANT SELECT, INSERT, UPDATE, DELETE ON goods_db.* TO goods_userlocalhost; -- 4. 刷新权限 FLUSH PRIVILEGES;参数说明utf8mb4支持emoji和四字节UTF-8字符goods_user用户名避免用admin/root等敏感词密码必须含大小写字母数字符号长度≥8位。4.3 配置Druid连接池五处关键参数不能错在WebContent/WEB-INF/web.xml中找到context-param或servlet里的初始化参数典型配置如下context-param param-namedriverClassName/param-name param-valuecom.mysql.cj.jdbc.Driver/param-value /context-param context-param param-nameurl/param-name param-valuejdbc:mysql://localhost:3306/goods_db?useUnicodetrueamp;characterEncodingutf8amp;serverTimezoneGMT%2B8amp;allowPublicKeyRetrievaltrueamp;useSSLfalse/param-value /context-param context-param param-nameusername/param-name param-valuegoods_user/param-value /context-param context-param param-namepassword/param-name param-valueGoods2024/param-value /context-param !-- Druid监控开关开发必开 -- context-param param-namedruid.stat.view.servlet.enabled/param-name param-valuetrue/param-value /context-param重点参数解释serverTimezoneGMT%2B8URL编码后的号解决Java与MySQL时区不一致导致的时间字段错乱allowPublicKeyRetrievaltrueMySQL 8.0强制要求否则连接报Public Key Retrieval is not alloweduseSSLfalse本地开发关闭SSL生产环境必须开druid.stat.view.servlet.enabledtrue开启Druid监控页访问http://localhost:8081/druid可查慢SQL、连接数、SQL防火墙5. 避坑运行阶段高频报错的3个真相与解法5.1 现象访问http://localhost:8081/login.jsp返回404原因web.xml中未配置welcome-file-list且Tomcat找不到默认欢迎页login.jsp实际路径不在WebContent/根目录而在WebContent/pages/login.jspIDEA未将WebContent设为Web资源根目录解决在web.xml末尾添加welcome-file-list welcome-filelogin.jsp/welcome-file /welcome-file-list确认login.jsp物理路径是WebContent/login.jsp不是子目录File → Project Structure → Modules → [模块名] → WebWeb resource directory选中WebContent文件夹Web application root URL填/5.2 现象登录时抛java.lang.ClassNotFoundException: com.mysql.cj.jdbc.Driver原因mysql-connector-java-8.0.33.jar放在了src/lib/或/lib非WEB-INF/lib/Jar包名含-sources.jar或-javadoc.jar这些不能当依赖用IDEA未将jar包加入Artifact输出解决将正确jar包仅mysql-connector-java-8.0.33.jar复制到WebContent/WEB-INF/lib/File → Project Structure → Artifacts → [项目名]:war exploded → Output Layout展开WEB-INF/lib→ 确认该jar包已存在若没有点 → File添加清理Build → Clean Project再Build → Rebuild Project5.3 现象商品列表页空白控制台无报错但数据库有数据原因DAO层SQL语句写错如SELECT * FROM product但表名实际是tb_goodsJSP中EL表达式${requestScope.goodsList}写成${goodsList}作用域错误Servlet未调用request.setAttribute(goodsList, list)就把请求转发了排查在Servlet的doGet方法末尾加日志System.out.println(Query result size: list.size()); // 看查到几条 request.setAttribute(goodsList, list); request.getRequestDispatcher(/list.jsp).forward(request, response);在list.jsp顶部加调试% System.out.println(goodsList in JSP: request.getAttribute(goodsList)); %对照数据库表结构检查SQL中的FROM表名、SELECT字段名是否完全一致区分大小写6. 让系统真正可用三个必须做的加固动作与一个验证技巧跑通登录和列表只是起点。一个能交差、能演示、能防初级攻击的商品管理系统必须完成这三步加固6.1 密码明文存储 → BCrypt加密存储5行代码的事找到用户登录验证逻辑通常在LoginServlet.java把原始密码比对改成BCrypt// 原始代码危险 if (user.getPassword().equals(inputPassword)) { ... } // 改为需引入BCrypt库 import org.mindrot.jbcrypt.BCrypt; // 注册时加密存储 String hashed BCrypt.hashpw(rawPassword, BCrypt.gensalt(12)); // 登录时验证 if (BCrypt.checkpw(inputPassword, user.getHashedPassword())) { ... }为什么必须做goods_system.sql里常有INSERT INTO user VALUES (1,admin,123456)——明文密码一旦泄露所有账户沦陷。BCrypt加盐哈希是行业标准12轮迭代足够防暴力破解。6.2 SQL注入防护PreparedStatement是底线不是选项检查所有DAO方法凡有字符串拼接SQL的立刻重构// ❌ 危险写法会被 OR 11注入 String sql SELECT * FROM goods WHERE name LIKE % keyword %; // ✅ 正确写法预编译占位符 String sql SELECT * FROM goods WHERE name LIKE ?; PreparedStatement pst conn.prepareStatement(sql); pst.setString(1, % keyword %);验证技巧在搜索框输入 OR 11如果返回全部商品说明没用PreparedStatement如果返回空或报错说明防护生效。6.3 XSS过滤JSP输出必须用c:out或EL表达式转义在list.jsp中所有动态输出内容必须包裹%-- ❌ 危险 --% td${goods.name}/td %-- ✅ 安全自动HTML转义 --% tdc:out value${goods.name}//td %-- 或 --% td${fn:escapeXml(goods.name)}/td需在JSP顶部声明% taglib prefixc urihttp://java.sun.com/jsp/jstl/core % % taglib prefixfn urihttp://java.sun.com/jsp/jstl/functions %6.4 终极验证技巧用Postman发一次POST请求绕过前端直测后端前端页面可能有JS校验掩盖后端漏洞。用Postman验证真实接口POSThttp://localhost:8081/addGoodsBody → x-www-form-urlencodedname:iPhone 15price:5999stock:100发送后立即用MySQL客户端查SELECT * FROM tb_goods WHERE name iPhone 15;若查到记录说明Servlet接收、DAO插入、事务提交全部走通若没查到说明addGoods路径没配对或WebServlet(/addGoods)注解写错。我坚持这个习惯每个功能上线前必用Postman绕过前端直测后端。因为浏览器里看到的“成功”可能是JS弹窗骗你的而数据库里真实存在的记录才是系统真正干活的证据。希望帮到你。本文还有配套的精品资源点击获取