Java Web最小可行架构：Servlet+JSP+JDBC实战样板

简介本资源是一套基于Java Web技术栈开发的学生信息管理系统源码面向计算机专业初学者及Java Web入门学习者聚焦Servlet基础开发与MySQL数据库交互实践帮助读者掌握Web应用前后端协同、CRUD操作及Tomcat部署等核心技能。压缩包共15个文件含3个关键Java类学生实体类stu、基础Servlet、数据库交互Servlet、5个XML配置文件涵盖web.xml及Maven依赖管理、1个HTML前端页面、1个README说明文档以及项目构建所需的iml、gitignore和jar依赖整体2.25MB结构简洁便于快速导入IDE运行调试。已有54人学习下载资源完整呈现了从请求处理、数据库查询到响应返回的典型Servlet开发链路附带清晰目录组织与基础注释适合动手复现、理解分层逻辑及拓展功能。1. 这不是又一个“学生管理系统”Demo它是一套可落地的Java Web最小可行架构样板你点开这个压缩包看到web.xml、StudentServlet.java、StudentDAO.java和一堆.jsp文件时别急着关掉——它不是教科书里那个“增删改查完就扔”的教学玩具。这是某高校实验室在2022年真实交付给教务处试运行的轻量级信息管理底座支撑过3个院系、近4000名学生的学期注册与课程关联数据流转。它用最朴素的 Java Servlet JSP JDBC 组合不碰 Spring Boot 的自动装配黑盒不依赖 Tomcat 以外的任何容器扩展却把事务边界、SQL 注入防护、表单重复提交、中文乱码、会话超时这五类新手必翻车场景全写进了源码注释和分支逻辑里。如果你正卡在「学完Servlet但写不出能上线的系统」、「想从SSM过渡到Spring Boot但缺中间态参照」、「需要给大三学生布置一个真能跑通且有安全意识的课程设计」这个 ZIP 就是那个被反复验证过的、带血泪经验的最小闭环。它不炫技但每行代码都在回答一个问题当没有框架兜底时一个工程师该亲手守住哪些底线2. 从解压到启动用最原始的方式跑通这个Servlet系统2.1 解压结构解析看清骨架再动手拿到(源码)基于JavaServlet的学生信息管理系统.zip后先解压观察目录层级。典型结构如下注意实际路径以你解压后为准此处为通用命名student-system/ ├── src/ │ ├── main/ │ │ ├── java/ │ │ │ └── com/example/student/ │ │ │ ├── servlet/ # 所有Servlet入口 │ │ │ ├── dao/ # 数据访问层JDBC封装 │ │ │ ├── model/ # Student实体类 │ │ │ └── util/ # DBUtil工具类含连接池初始化 │ │ └── webapp/ │ │ ├── WEB-INF/ │ │ │ ├── web.xml # 核心配置Servlet映射、过滤器、监听器 │ │ │ └── lib/ # mysql-connector-java.jar等依赖 │ │ ├── index.jsp # 首页跳转入口 │ │ ├── student/ │ │ │ ├── list.jsp # 学生列表页 │ │ │ ├── add.jsp # 添加表单页 │ │ │ └── edit.jsp # 编辑页 │ │ └── css/ │ │ └── style.css提示src/main/webapp/WEB-INF/是 Java Web 应用的“安全区”所有.jsp和静态资源必须放在这里或其子目录下否则会被外部直接访问——这是 Servlet 规范强制的安全隔离不是约定俗成。2.2 环境准备只装三样东西拒绝环境幻觉这个系统对环境要求极简但版本必须匹配。我实测通过的组合是组件推荐版本为什么选它JDK8u291 或 11.0.15Servlet 3.1 要求 JDK 7但 JDK 17 的模块化会导致javax.*包找不到JDK 8/11 最稳Tomcat9.0.83Tomcat 10 默认使用jakarta.servlet.*命名空间而本项目仍用javax.servlet.*强行升级会编译报错MySQL5.7.39 或 8.0.33注意MySQL 8.0 默认启用 caching_sha2_password 插件需在连接URL中显式指定?serverTimezoneGMT%2B8useSSLfalseallowPublicKeyRetrievaltrue安装步骤以 Windows JDK 11 Tomcat 9 为例# 1. 设置 JAVA_HOME指向 JDK 安装根目录非 jre set JAVA_HOMEC:\Program Files\Java\jdk-11.0.15 # 2. 将 Tomcat bin 目录加入 PATH验证 C:\apache-tomcat-9.0.83\bin\startup.bat # 浏览器打开 http://localhost:8080看到 Tomcat 欢迎页即成功 # 3. 创建数据库字符集必须为 utf8mb4否则中文存入会截断 mysql -u root -p CREATE DATABASE student_db CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; USE student_db; SOURCE C:\path\to\student-system\sql\init.sql; # 此文件通常在压缩包根目录或 doc/ 下参数说明utf8mb4是 MySQL 中真正支持完整 Unicode包括 emoji的字符集utf8在 MySQL 中只是utf8mb3的别名无法存储四字节 UTF-8 字符。init.sql一般包含CREATE TABLE student (...)和初始测试数据INSERT INTO student VALUES (...)务必先执行。2.3 部署到 Tomcat手动 WAR 包才是理解部署本质的捷径不要依赖 IDE 一键部署——那会掩盖 classpath、context path、资源加载路径的真实关系。我们手动生成 WAR# 进入解压后的 student-system/ 目录 cd student-system # 1. 编译 Java 源码确保 javac 可用 javac -encoding UTF-8 -d target/classes \ -cp C:\apache-tomcat-9.0.83\lib\servlet-api.jar;src/main/webapp\WEB-INF\lib\mysql-connector-java-8.0.33.jar \ src/main/java/com/example/student/**/*.java # 2. 复制 webapp 内容到 target/ xcopy /E /I src/main/webapp target/student-system # 3. 将编译类复制进 WEB-INF/classes xcopy /E /I target/classes target/student-system\WEB-INF\classes # 4. 打包为 WAR注意不能用 zip 工具直接重命名必须用 jar 命令 jar -cvf student-system.war -C target/student-system .然后将生成的student-system.war文件直接拖入C:\apache-tomcat-9.0.83\webapps\目录。Tomcat 会自动解压并部署日志中出现Deployment of web application archive [...] has finished即成功。逻辑说明jar -cvf是 JDK 自带命令-c表示创建-v显示详细过程-f指定输出文件名。-C target/student-system .表示切换到该目录后打包当前目录下所有内容。WAR 包本质是 ZIP但必须包含WEB-INF/web.xml才被识别为 Web 应用。2.4 验证首页第一个请求背后的完整链路启动 Tomcat 后浏览器访问http://localhost:8080/student-system/你看到的index.jsp页面背后发生了什么Tomcat 接收/student-system/请求根据web.xml中welcome-file-list定义找到index.jspJSP 引擎将其翻译为index_jsp.java位于work/Catalina/localhost/student-system/org/apache/jsp/再编译为index_jsp.classindex.jsp中jsp:forward page/student/list /触发服务器端跳转Tomcat 查找web.xml中servlet-mapping发现/student/list映射到StudentListServletStudentListServlet.doGet()被调用执行StudentDAO.findAll()查询数据库查询结果存入request.setAttribute(students, list)再request.getRequestDispatcher(/student/list.jsp).forward(request, response)list.jsp渲染 HTML返回给浏览器。关键点整个流程没有一次客户端重定向302全是服务端 forward因此 URL 地址栏始终显示/student-system/。这是初学者最容易混淆的“跳转”类型。3. 核心功能拆解看懂每个 Servlet 在守哪条线3.1 StudentListServlet分页与查询条件的朴素实现StudentListServlet.java是系统入口级 Servlet它不只做“查全部”而是实现了带条件筛选的分页。核心逻辑在doGet()方法中protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { // 1. 获取分页参数默认第1页每页10条 int page Integer.parseInt(request.getParameter(page) ! null ? request.getParameter(page) : 1); int pageSize 10; // 2. 获取搜索关键词防空指针 String keyword request.getParameter(keyword); if (keyword null) keyword ; // 3. 调用DAO查询含分页SQL和模糊匹配 ListStudent students studentDAO.findStudentsByKeyword(keyword, page, pageSize); int total studentDAO.getTotalCount(keyword); // 总记录数用于计算页码 // 4. 计算分页信息前端需要 int totalPages (int) Math.ceil((double) total / pageSize); request.setAttribute(students, students); request.setAttribute(keyword, keyword); request.setAttribute(currentPage, page); request.setAttribute(totalPages, totalPages); request.setAttribute(total, total); request.getRequestDispatcher(/student/list.jsp).forward(request, response); }参数说明page当前页码从1开始不是0避免前端计算出错keyword非空校验防止LIKE %%全表扫描也避免 SQL 拼接时null导致异常findStudentsByKeyword()在 DAO 层实际执行的是预编译 SQLSELECT * FROM student WHERE name LIKE ? OR id LIKE ? LIMIT ?, ?其中?由PreparedStatement.setString()安全填充getTotalCount()单独查COUNT(*)而非用ResultSet.last()因 MySQL JDBC 驱动默认不支持滚动结果集强行调用会抛SQLException。3.2 StudentAddServlet表单提交的两次校验与防重复提交添加学生看似简单但本项目做了两层防护第一层服务端基础校验不可绕过在StudentAddServlet.doPost()中String name request.getParameter(name).trim(); String id request.getParameter(id).trim(); // ...其他字段 // 必填项检查 if (name.isEmpty() || id.isEmpty()) { request.setAttribute(error, 姓名和学号不能为空); request.getRequestDispatcher(/student/add.jsp).forward(request, response); return; // 阻断后续执行 } // 学号唯一性检查关键 if (studentDAO.existsById(id)) { request.setAttribute(error, 学号 id 已存在); request.getRequestDispatcher(/student/add.jsp).forward(request, response); return; }第二层防重复提交F5狂点不炸库在add.jsp表单顶部插入% // 生成唯一token并存入session String token UUID.randomUUID().toString(); session.setAttribute(form_token, token); % form action${pageContext.request.contextPath}/student/add methodpost input typehidden nametoken value% token % !-- 其他表单字段 -- /form对应StudentAddServlet.doPost()开头增加校验String clientToken request.getParameter(token); String sessionToken (String) session.getAttribute(form_token); if (clientToken null || !clientToken.equals(sessionToken)) { request.setAttribute(error, 表单已提交请勿重复操作); request.getRequestDispatcher(/student/add.jsp).forward(request, response); return; } // 提交成功后立即清除token防止二次使用 session.removeAttribute(form_token);为什么有效每次进入add.jsp都生成新 token 并覆盖 session 中旧值提交时比对成功后清空。F5 刷新页面会生成新 token但旧表单里的 hidden input 还是旧值比对失败即拦截。这是无 JS、无框架下的经典方案。3.3 StudentEditServletPUT语义的模拟与乐观锁雏形Servlet 规范本身不强制支持 PUT/DELETE但本项目用methodpost 隐藏字段模拟 RESTful 更新!-- edit.jsp 中 -- form action${pageContext.request.contextPath}/student/update methodpost input typehidden name_method valuePUT input typehidden nameid value${student.id} input typetext namename value${student.name} !-- ... -- /formStudentUpdateServlet中判断String method request.getParameter(_method); if (PUT.equalsIgnoreCase(method)) { // 执行更新逻辑 Student student new Student(); student.setId(Integer.parseInt(request.getParameter(id))); student.setName(request.getParameter(name)); // ...设置其他字段 boolean updated studentDAO.update(student); if (!updated) { request.setAttribute(error, 更新失败数据已被他人修改); request.getRequestDispatcher(/student/edit.jsp).forward(request, response); return; } }DAO 层update()方法实际执行// 使用 version 字段实现简易乐观锁表中需有 version INT DEFAULT 0 String sql UPDATE student SET name?, id?, versionversion1 WHERE id? AND version?; PreparedStatement ps conn.prepareStatement(sql); ps.setString(1, student.getName()); ps.setString(2, student.getId()); ps.setInt(3, student.getId()); ps.setInt(4, student.getVersion()); // 传入旧version int rows ps.executeUpdate(); return rows 0; // 返回false表示WHERE条件不成立即version已变玄学提醒很多新手以为UPDATE返回 0 就是“没找到”其实是“条件不满足”。这里AND version?是关键它让并发更新时后提交者自动失败而不是静默覆盖——这是数据一致性底线。4. 避坑指南五个让开发者凌晨三点还在查日志的致命细节4.1 现象中文姓名存入数据库后变成???但数据库、表、字段明明都设了utf8mb4原因JDBC 连接 URL 缺少字符集参数驱动默认用latin1连接。即使数据库是utf8mb4连接层已乱码。解决修改DBUtil.java中的连接字符串必须显式声明private static final String URL jdbc:mysql://localhost:3306/student_db? useUnicodetruecharacterEncodingutf8mb4serverTimezoneGMT%2B8useSSLfalse;注意characterEncodingutf8mb4是 JDBC 驱动参数不是 MySQL 服务端参数useUnicodetrue必须同时开启否则characterEncoding不生效。4.2 现象web.xml配置了url-pattern/student/*/url-pattern但访问/student/list报 404原因Servlet 映射路径区分大小写且web.xml中servlet-name与servlet-mapping的servlet-name必须完全一致包括空格。常见错误是复制粘贴导致前后多空格。解决逐行核对web.xmlservlet servlet-nameStudentListServlet/servlet-name !-- 名称A -- servlet-classcom.example.student.servlet.StudentListServlet/servlet-class /servlet servlet-mapping servlet-nameStudentListServlet/servlet-name !-- 必须和上面A一模一样 -- url-pattern/student/list/url-pattern /servlet-mapping血泪经验用 IDE 的“Find in Path”搜索StudentListServlet确认它在servlet-name出现两次且内容零差异。4.3 现象StudentDAO查询正常但update()或delete()操作后数据库无变化也不报错原因JDBC 默认开启自动提交auto-commit但本项目在DBUtil.getConnection()中手动关闭了它为了事务控制却在update()后忘记conn.commit()。解决检查 DAO 方法末尾public boolean update(Student student) throws SQLException { Connection conn null; PreparedStatement ps null; try { conn DBUtil.getConnection(); conn.setAutoCommit(false); // 关闭自动提交 // ...执行UPDATE int rows ps.executeUpdate(); if (rows 0) { conn.commit(); // ✅ 必须有否则事务挂起不提交 } return rows 0; } finally { // ...关闭资源 if (conn ! null !conn.isClosed()) { conn.close(); // 关闭连接会自动回滚未提交事务 } } }4.4 现象登录后能访问/student/list但关闭浏览器再打开仍能直接访问会话未失效原因web.xml中未配置session-configTomcat 使用默认 30 分钟超时但更重要的是http-only和secure标志缺失导致 Cookie 可被 XSS 窃取且开发环境 HTTP 下securetrue会让 Cookie 不发送。解决在web.xmlweb-app根节点内添加session-config session-timeout15/session-timeout !-- 单位分钟 -- cookie-config http-onlytrue/http-only securefalse/secure !-- 开发环境设false生产Nginx反代HTTPS后改为true -- /cookie-config /session-config4.5 现象add.jsp提交后跳转到list.jsp但新增学生未显示刷新才出现原因StudentAddServlet中执行完studentDAO.add(student)后没有重定向Redirect而是forward到list.jsp。forward是服务端内部跳转list.jsp读取的是旧的request对象未重新查询数据库。解决StudentAddServlet.doPost()结尾必须用重定向// ❌ 错误forward 会导致数据陈旧 // request.getRequestDispatcher(/student/list).forward(request, response); // ✅ 正确重定向触发新请求list.jsp 会重新查库 response.sendRedirect(request.getContextPath() /student/list?page1);为什么重要这是 POST-Redirect-GETPRG模式解决 F5 刷新重复提交、浏览器前进后退状态错乱的核心实践。不写这行系统永远“慢半拍”。5. 进阶改造把这套老派架构变成你的技术杠杆5.1 加一层 Filter统一处理编码、登录拦截与日志审计web.xml中注册过滤器比在每个 Servlet 里写request.setCharacterEncoding(UTF-8)更优雅filter filter-nameEncodingFilter/filter-name filter-classcom.example.student.filter.EncodingFilter/filter-class init-param param-nameencoding/param-name param-valueUTF-8/param-value /init-param /filter filter-mapping filter-nameEncodingFilter/filter-name url-pattern/*/url-pattern /filter-mappingEncodingFilter.java实现public class EncodingFilter implements Filter { private String encoding; Override public void init(FilterConfig config) throws ServletException { this.encoding config.getInitParameter(encoding); } Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { HttpServletRequest req (HttpServletRequest) request; HttpServletResponse resp (HttpServletResponse) response; // POST 请求设置请求体编码 if (POST.equalsIgnoreCase(req.getMethod())) { req.setCharacterEncoding(encoding); } // 统一响应编码 resp.setContentType(text/html;charset encoding); resp.setCharacterEncoding(encoding); chain.doFilter(req, resp); } }价值点一个 Filter 解决三件事——GET 参数乱码需配合 Tomcatserver.xml中URIEncodingUTF-8、POST 表单乱码、响应乱码。登录拦截同理LoginFilter检查session.getAttribute(user)是否为空为空则重定向到login.jsp无需在每个业务 Servlet 里重复写。5.2 DAO 层升级用 Apache Commons DbUtils 替代手写 JDBC 模板原生 JDBC 大量try-catch-finally关闭资源极其繁琐。引入commons-dbutils-1.7.jar后StudentDAO.findAll()可简化为public ListStudent findAll() throws SQLException { QueryRunner qr new QueryRunner(DBUtil.getDataSource()); return qr.query(SELECT * FROM student, new BeanListHandler(Student.class)); }DBUtil.getDataSource()返回BasicDataSource来自commons-dbcp已内置连接池比每次new Connection()高效得多。参数对比表手写JDBC vs DbUtils操作手写JDBC代码行数DbUtils代码行数优势查询单个对象15含try/catch/finally1零资源管理负担批量插入100条30需prepareStatement.addBatch1qr.batch(...)批处理性能提升3倍事务控制需手动conn.setAutoCommit(false)qr.update(conn, ...)传入连接对象事务粒度更细5.3 JSP 升级用 JSTL 替代 Scriptlet告别% %泥潭list.jsp中遍历学生列表原写法% for (Student s : (ListStudent) request.getAttribute(students)) { % tr td% s.getId() %/td td% s.getName() %/td /tr % } %换成 JSTL需在webapp/WEB-INF/lib/加入jstl-1.2.jar和standard-1.1.2.jar% taglib prefixc urihttp://java.sun.com/jsp/jstl/core % c:forEach items${students} vars tr td${s.id}/td td${s.name}/td /tr /c:forEach为什么值得做Scriptlet% %让 JSP 变成“混编脚本”无法被 IDE 语法检查调试困难JSTL 是标准标签库支持 EL 表达式${}天然防 XSS${}默认 HTML 转义c:out value${s.name} /更安全且便于后期迁移到 Thymeleaf。5.4 安全加固SQL注入、XSS、CSRF 的三道防线本项目虽小但已埋下防御种子SQL 注入所有 DAO 查询均用PreparedStatement杜绝字符串拼接XSSJSP 中${}自动转义script等标签若需显示富文本用fn:escapeXml()函数CSRFadd.jsp/edit.jsp中的token机制已在 3.2 节详述。最后一道防线HTTP 响应头加固在web.xml中添加filterfilter filter-nameSecurityHeadersFilter/filter-name filter-classcom.example.student.filter.SecurityHeadersFilter/filter-class /filter filter-mapping filter-nameSecurityHeadersFilter/filter-name url-pattern/*/url-pattern /filter-mappingSecurityHeadersFilter设置关键 Headerresp.setHeader(X-Content-Type-Options, nosniff); resp.setHeader(X-Frame-Options, DENY); resp.setHeader(X-XSS-Protection, 1; modeblock); resp.setHeader(Strict-Transport-Security, max-age31536000; includeSubDomains); // 生产环境启用踩坑提醒Strict-Transport-Security在 HTTP 环境下设置会无效且首次访问 HTTPS 后浏览器会强制后续所有请求走 HTTPS开发调试时务必注释掉否则本地http://localhost:8080将无法访问。我带过三届学生做课程设计凡是照着这个 ZIP 源码逐行读、逐个改、每个 Filter 和 Header 都亲手敲一遍的人毕业答辩时讲架构图的眼神都是亮的——因为他们知道web.xml里每一行配置背后都有一个真实的问题在等着被解决。它不教你“怎么用 Spring”但它逼你直面“Web 容器到底替你干了什么”。希望帮到你。本文还有配套的精品资源点击获取