Java Web原生开发：Servlet+JSP+JDBC图书系统实战

简介：这是一套面向Java初学者与课程设计学生的完整图书管理系统实战项目资源，基于Java Web技术栈开发，覆盖数据库设计、前后端交互与业务逻辑实现全流程。资源包含源码、MySQL数据库脚本及配套课程设计报告，可直接部署运行并用于软件工程实践、毕业设计参考或Web开发能力训练。压缩包共851个文件，主体为16个Java源文件（含Servlet与业务类）、10个JSP页面、8个CSS与HTML前端资源、24个编译后class文件、18个jar依赖库，以及大量XML配置、DAT数据文件和项目元数据，总大小12.73MB，结构完整，符合Eclipse/IDEA标准Web项目布局。已有2538人学习下载，读者可获得可运行的全功能系统、规范的数据库建表语句、清晰的MVC分层代码结构及详实的设计报告，涵盖需求分析、表关系设计、借阅流程逻辑与测试用例，助其快速掌握Java Web开发核心技能。

1. 这不是又一个“Hello World”项目：它用标准 Java Web 技术栈跑通了真实业务闭环

你可能见过几十个“图书管理系统”Demo——JSP 页面堆满表格、Servlet 里硬编码 SQL、数据库字段名直接当变量名用。但这份源码包（含完整数据库脚本与课程设计报告）不同：它在 Tomcat 8+ 环境下可直接部署，用户注册后能真实完成「借书→库存扣减→借阅记录生成→归还→库存回填」全链路，且所有外键约束、事务边界、密码加密（BCrypt）、会话超时控制全部启用。它不依赖 Spring Boot 自动装配，而是用原生 Servlet + JSP + JDBC + Filter 实现分层解耦，每个模块（BookServlet、UserServlet、BorrowServlet）职责清晰，DAO 层封装了 PreparedStatement 防注入，Service 层显式标注了 @Transactional 语义（通过手动 commit/rollback 模拟）。适合 Java 初学者理解 Web 容器生命周期，也足够让有 3 年经验的开发者反向推演：如果把其中某个 Filter 改成 JWT 验证，或把 JSP 替换为 Thymeleaf，改动点在哪？它不是教学玩具，是能放进简历“项目经验”栏、经得起面试官深挖三层调用栈的真实工程切片。

2. 从零启动：环境准备、数据库初始化与 WAR 包部署路径

2.1 环境依赖与版本对齐

该系统基于 Java EE 规范实现，不兼容 JDK 17+ 的模块化特性，实测稳定运行于以下组合：

• JDK 8u291（必须使用JAVA_HOME指向此版本，java -version输出含1.8.0_291）
• Apache Tomcat 8.5.99（注意：Tomcat 9+ 默认禁用org.apache.jasper.servlet.JspServlet，会导致 JSP 编译失败）
• MySQL 5.7.36（InnoDB 引擎，字符集utf8mb4，排序规则utf8mb4_unicode_ci）

提示：若使用 MySQL 8.0+，需在 JDBC URL 后追加?serverTimezone=Asia/Shanghai&allowPublicKeyRetrieval=true&useSSL=false，否则DriverManager.getConnection()会抛出java.sql.SQLException: The server time zone value 'XXX' is unrecognized。

2.2 数据库初始化：执行建表与基础数据注入

解压 ZIP 后，进入database/目录，找到book_system.sql文件。该脚本包含三张核心表：

执行建库与导入命令（Linux/macOS）：

mysql -u root -p -e "CREATE DATABASE IF NOT EXISTS book_system CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;" mysql -u root -p book_system < ./database/book_system.sql

验证数据：

-- 检查是否成功插入管理员账号（默认用户名 admin，密码 123456） SELECT username, password FROM t_user WHERE username = 'admin'; -- 返回结果应为：admin, $2a$10$...（BCrypt 密文，非明文）

2.3 WAR 包构建与 Tomcat 部署

源码结构遵循标准 Java Web 工程规范：

src/ ├── main/ │ ├── java/ # Servlet、DAO、Service 类 │ │ └── com/book/system/ │ │ ├── servlet/ # BookServlet.java, UserServlet.java... │ │ ├── dao/ # BookDao.java, UserDao.java... │ │ └── service/ # BookService.java, BorrowService.java... │ ├── webapp/ │ │ ├── WEB-INF/ │ │ │ ├── web.xml # 配置 Servlet 映射、Filter、Listener │ │ │ └── lib/ # 包含 mysql-connector-java-5.1.47.jar │ │ └── index.jsp # 登录入口页

构建 WAR 包步骤：

1. 在src/main/webapp/WEB-INF/web.xml中确认<servlet-mapping>路径：

   <servlet-mapping> <servlet-name>UserServlet</servlet-name> <url-pattern>/user/*</url-pattern> </servlet-mapping>

2. 使用 Maven 打包（需确保pom.xml存在，若无则手动创建）：

   <!-- pom.xml 关键片段 --> <packaging>war</packaging> <properties> <maven.compiler.source>1.8</maven.compiler.source> <maven.compiler.target>1.8</maven.compiler.target> </properties>

3. 执行打包：

   cd /path/to/project mvn clean package -Dmaven.test.skip=true # 输出 target/book-system.war

4. 部署到 Tomcat：

   cp target/book-system.war $CATALINA_HOME/webapps/ # 启动 Tomcat：$CATALINA_HOME/bin/startup.sh # 访问 http://localhost:8080/book-system/

2.4 首次访问验证：登录流程与会话状态检查

打开浏览器访问http://localhost:8080/book-system/，页面跳转至login.jsp。输入默认账号：

• 用户名：admin
• 密码：123456

成功登录后，URL 变为/book-system/home.jsp，页面顶部显示「欢迎，admin」。此时检查 Tomcat 会话：

# 查看当前活跃会话（需开启 Manager App） curl -u "admin:admin" "http://localhost:8080/manager/html" # 或在代码中打印 session ID： // 在 HomeServlet.java 中添加： System.out.println("Session ID: " + request.getSession().getId());

注意：web.xml中配置了<session-config><session-timeout>30</session-timeout></session-config>，30 分钟无操作自动失效。若修改为 5 分钟测试，需重启 Tomcat 生效。

3. 核心业务逻辑拆解：借阅流程中的事务控制与状态机设计

3.1 借阅请求的完整调用链：从 HTTP 请求到数据库写入

用户点击「借阅」按钮触发 AJAX 请求：

// borrow.js $.post("/book-system/borrow", { bookId: 101, userId: 1 }, function(data) { if (data.success) alert("借阅成功！"); });

后端BorrowServlet处理流程：

// BorrowServlet.java protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { int bookId = Integer.parseInt(request.getParameter("bookId")); int userId = Integer.parseInt(request.getParameter("userId")); BorrowService borrowService = new BorrowService(); // 关键：事务开始前检查库存 boolean canBorrow = borrowService.checkStock(bookId); // 查询 t_book.stock > 0 if (!canBorrow) { response.getWriter().write("{\"success\":false,\"msg\":\"库存不足\"}"); return; } // 手动控制事务（非 Spring，需显式 try-catch） Connection conn = null; try { conn = DBUtil.getConnection(); // 获取连接 conn.setAutoCommit(false); // 关闭自动提交 // 步骤1：扣减库存 BookDao bookDao = new BookDao(conn); bookDao.updateStock(bookId, -1); // stock = stock - 1 // 步骤2：插入借阅记录 BorrowDao borrowDao = new BorrowDao(conn); borrowDao.insertRecord(bookId, userId); conn.commit(); // 全部成功才提交 response.getWriter().write("{\"success\":true}"); } catch (SQLException e) { if (conn != null) { try { conn.rollback(); } catch (SQLException ex) {} } response.getWriter().write("{\"success\":false,\"msg\":\"系统错误\"}"); } finally { DBUtil.closeConnection(conn); } }

3.1.1 为什么不用@Transactional？

因为项目未引入 Spring 框架，事务控制完全由 JDBCConnection对象管理。conn.setAutoCommit(false)是关键开关，它使后续所有executeUpdate()操作处于同一事务上下文。若bookDao.updateStock()成功但borrowDao.insertRecord()失败（如外键约束冲突），conn.rollback()会将库存变更回滚，保证数据一致性。这是原生 Java Web 开发中必须掌握的底层机制。

3.2 状态机驱动的归还逻辑：status字段的双重校验

归还操作不仅更新t_borrow_record.return_time，更需校验业务状态：

// BorrowService.java public boolean returnBook(int recordId) { Connection conn = null; try { conn = DBUtil.getConnection(); conn.setAutoCommit(false); // 校验1：记录是否存在且状态为 BORROWED String checkSql = "SELECT status FROM t_borrow_record WHERE id = ? AND status = 'BORROWED'"; PreparedStatement ps = conn.prepareStatement(checkSql); ps.setInt(1, recordId); ResultSet rs = ps.executeQuery(); if (!rs.next()) return false; // 不存在或已归还 // 校验2：对应图书库存是否被正确扣减（防并发超借） String getBookIdSql = "SELECT book_id FROM t_borrow_record WHERE id = ?"; ps = conn.prepareStatement(getBookIdSql); ps.setInt(1, recordId); rs = ps.executeQuery(); rs.next(); int bookId = rs.getInt("book_id"); // 更新记录状态并回填库存 String updateSql = "UPDATE t_borrow_record SET status='RETURNED', return_time=? WHERE id=?"; ps = conn.prepareStatement(updateSql); ps.setTimestamp(1, new Timestamp(System.currentTimeMillis())); ps.setInt(2, recordId); ps.executeUpdate(); BookDao bookDao = new BookDao(conn); bookDao.updateStock(bookId, 1); // stock = stock + 1 conn.commit(); return true; } catch (SQLException e) { if (conn != null) try { conn.rollback(); } catch (SQLException ex) {} return false; } finally { DBUtil.closeConnection(conn); } }

3.2.1status字段为何不能仅靠应用层校验？

若只在 Java 代码中if (record.getStatus().equals("BORROWED"))，高并发场景下可能出现「ABA 问题」：线程 A 读取到BORROWED，线程 B 同时归还并更新为RETURNED，线程 A 仍执行归还逻辑。因此必须在 SQL 中嵌入AND status = 'BORROWED'条件，利用数据库行级锁（InnoDB 的SELECT ... FOR UPDATE或UPDATE ... WHERE）保证原子性。本项目虽未显式加锁，但UPDATE语句天然持有行锁，已满足要求。

3.3 用户密码安全：BCrypt 加密与验证流程

UserServlet注册时调用：

String rawPassword = request.getParameter("password"); String encodedPassword = BCrypt.hashpw(rawPassword, BCrypt.gensalt(12)); // 插入 t_user.password 字段

登录验证时：

String inputPassword = request.getParameter("password"); String storedHash = userDao.getPasswordByUsername(username); // 从数据库查出 $2a$12$... if (BCrypt.checkpw(inputPassword, storedHash)) { // 密码正确 }

提示：BCrypt.gensalt(12)中12是 log rounds，值越大越安全但耗时越长。生产环境建议10~12，开发环境4即可加速测试。

4. 源码级调试技巧：定位常见报错与性能瓶颈

4.1 五类高频报错的根因与修复方案

4.2 性能瓶颈定位：慢查询与连接泄漏检测

系统在高并发借阅时可能出现响应延迟，需排查：

1. 慢查询日志开启（MySQL）：

   SET GLOBAL slow_query_log = 'ON'; SET GLOBAL long_query_time = 1; -- 超过1秒记为慢查询 SET GLOBAL slow_query_log_file = '/var/log/mysql/slow.log';

2. 检查连接泄漏：在DBUtil.java的closeConnection()方法中添加日志：

   public static void closeConnection(Connection conn) { if (conn != null) { try { System.out.println("Closing connection: " + conn.hashCode()); // 关键日志 conn.close(); } catch (SQLException e) { e.printStackTrace(); } } }

   若日志中出现大量Closing connection: xxx但getConnection()调用次数远少于关闭次数，说明连接未被正确释放。

4.3 JSP 页面调试：EL 表达式失效的三种场景

当home.jsp中${user.username}显示为空白，而非预期用户名：

• 场景1：<%@ page isELIgnored="true" %>被误设→ 删除该指令或改为false
• 场景2：web.xml中web-app版本过低→ 确保声明为xmlns="http://xmlns.jcp.org/xml/ns/javaee" version="3.1"
• 场景3：Servlet 未将对象存入 request scope→ 检查HomeServlet.java是否调用request.setAttribute("user", user)

5. 进阶改造：将原生 Filter 替换为基于角色的细粒度权限控制

5.1 理解现有 Filter 的局限性

当前AuthFilter.java仅做粗粒度拦截：

// AuthFilter.java public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) { HttpServletRequest request = (HttpServletRequest) req; HttpServletResponse response = (HttpServletResponse) resp; HttpSession session = request.getSession(false); if (session == null || session.getAttribute("user") == null) { response.sendRedirect(request.getContextPath() + "/login.jsp"); return; } chain.doFilter(req, resp); }

它无法区分「普通用户只能借阅」和「管理员可删除图书」，所有受保护路径（/book/*,/user/*）权限相同。

5.2 实现 RBAC（基于角色的访问控制）Filter

新建RoleBasedFilter.java，替换web.xml中的AuthFilter声明：

<filter> <filter-name>RoleBasedFilter</filter-name> <filter-class>com.book.system.filter.RoleBasedFilter</filter-class> </filter> <filter-mapping> <filter-name>RoleBasedFilter</filter-name> <url-pattern>/admin/*</url-pattern> <!-- 仅管理员可访问 --> </filter-mapping> <filter-mapping> <filter-name>RoleBasedFilter</filter-name> <url-pattern>/user/borrow</url-pattern> <!-- 所有登录用户可访问 --> </filter-mapping>

RoleBasedFilter.java核心逻辑：

public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) throws IOException, ServletException { HttpServletRequest request = (HttpServletRequest) req; HttpServletResponse response = (HttpServletResponse) resp; HttpSession session = request.getSession(false); if (session == null || session.getAttribute("user") == null) { response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "未登录"); return; } User user = (User) session.getAttribute("user"); String requestURI = request.getRequestURI(); // 规则：/admin/ 开头的路径仅允许 role='ADMIN' if (requestURI.startsWith(request.getContextPath() + "/admin/") && !"ADMIN".equals(user.getRole())) { response.sendError(HttpServletResponse.SC_FORBIDDEN, "权限不足"); return; } // 规则：/user/delete 路径仅允许管理员 if (requestURI.contains("/user/delete") && !"ADMIN".equals(user.getRole())) { response.sendError(HttpServletResponse.SC_FORBIDDEN, "仅管理员可删除用户"); return; } chain.doFilter(req, resp); }

5.2.1 如何动态加载权限规则？

避免硬编码路径，可将规则存入数据库：

CREATE TABLE t_permission ( id INT PRIMARY KEY AUTO_INCREMENT, url_pattern VARCHAR(255) NOT NULL, -- 如 '/admin/book' required_role VARCHAR(20) NOT NULL -- 'ADMIN', 'USER' ); INSERT INTO t_permission VALUES (1, '/admin/book', 'ADMIN'), (2, '/user/borrow', 'USER');

在 Filter 初始化时（init()方法）查询该表缓存到static Map<String, String>，提升性能。

5.3 验证权限控制生效

启动应用后，用普通用户（role='USER'）尝试访问http://localhost:8080/book-system/admin/book，应返回 HTTP 403 错误页，而非空白或重定向。查看 Tomcat 日志：

[ERROR] RoleBasedFilter - 权限不足: USER 尝试访问 /admin/book

这证明细粒度控制已介入，无需修改任何 Servlet 代码即可扩展权限体系。

本文还有配套的精品资源，点击获取