1. 項目概述1.1 這個項目到底在解決什么問題大學(xué)生在校期間的時間碎片化程度遠比你想象的高。上午兩節(jié)課空出三小時下午沒課周末不排課寒暑假更是整段整段時間。與此同時校園周邊的商家、校內(nèi)部門、周邊社區(qū)隨時都在產(chǎn)生大量短期的、按小時計酬的工作需求食堂幫工、快遞分揀、活動禮儀、展會引導(dǎo)、圖書整理、數(shù)據(jù)錄入、地推發(fā)單這些崗位的特點是時效性強、技能門檻低、排班靈活但傳統(tǒng)的招聘渠道根本覆蓋不了。我之前接觸過一個同類項目學(xué)生要在幾十個微信群里翻消息找工作雇主要挨個群發(fā)招聘信息雙方溝通效率極低而且沒有任何信用評價機制跑單、放鴿子、臨時加活都是家常便飯。這就是這個基于SpringBoot的大學(xué)生兼職系統(tǒng)要解決的核心問題把零散的校園兼職需求聚合到一個平臺上讓學(xué)生能按標(biāo)簽篩選、掃碼報名、系統(tǒng)自動排班雇主能一鍵發(fā)布崗位、批量管理報名、實時結(jié)算工資最終形成一個校園內(nèi)的靈活用工撮合閉環(huán)。這個項目定位非常清晰適合三類人參考一是正在準(zhǔn)備計算機畢業(yè)設(shè)計、需要開發(fā)一個業(yè)務(wù)邏輯完整且技術(shù)棧主流的Web系統(tǒng)的學(xué)生二是想了解SpringBoot整合常見中間件Redis、Quartz、Elasticsearch如何落地的開發(fā)者三是有實際校園兼職平臺建設(shè)需求的運營方。從畢設(shè)選題角度來說這類技術(shù)棧主流 業(yè)務(wù)場景真實 需求分析完整的系統(tǒng)在答辯時非常好講因為每一個功能模塊都能對應(yīng)到明確的使用場景不是憑空造出來的。1.2 技術(shù)選型為什么是SpringBoot Web先說結(jié)論SpringBoot在當(dāng)前校園級Web應(yīng)用場景下依然是最穩(wěn)妥的選擇沒有之一。原因是多方面的。第一SpringBoot的自動配置機制大幅降低了項目初始化成本。以前用SSM框架搭一個能跑的項目要寫一堆XML配置文件數(shù)據(jù)源、事務(wù)管理器、MyBatis映射掃描得挨個配置新手光調(diào)環(huán)境就能調(diào)一整天。SpringBoot把默認(rèn)配置都封裝好了你只需要在application.yml里寫上數(shù)據(jù)庫連接信息、端口號、Redis地址應(yīng)用就能啟動。第二SpringBoot的生態(tài)極其完善校園兼職系統(tǒng)需要的所有能力幾乎都有對應(yīng)的Starter——數(shù)據(jù)校驗用spring-boot-starter-validation定時任務(wù)用spring-boot-starter-quartz緩存用spring-boot-starter-data-redis文檔生成用springfox或springdoc任何一個模塊都能在幾分鐘內(nèi)接好。第三社區(qū)資料量巨大遇到問題搜索解決方案的效率極高這對學(xué)生完成畢設(shè)來說是實打?qū)嵉膬?yōu)勢。項目采用前后端分離的Web架構(gòu)后端負(fù)責(zé)業(yè)務(wù)邏輯與數(shù)據(jù)交互前端通過接口獲取數(shù)據(jù)并渲染頁面?？紤]到校園場景的實際訪問量幾百到上千人同時在線這種架構(gòu)完全夠用而且讓代碼結(jié)構(gòu)更清晰后端只管提供RESTful API前端只管頁面展示和交互彼此通過JSON格式數(shù)據(jù)通信后續(xù)維護和擴展都更方便。2. 系統(tǒng)整體設(shè)計與功能模塊拆解2.1 用戶角色邊界設(shè)計這個系統(tǒng)的用戶模型值得仔細琢磨因為它直接決定了數(shù)據(jù)表設(shè)計和接口權(quán)限控制的復(fù)雜度。系統(tǒng)設(shè)計了三類角色學(xué)生用戶、企業(yè)/雇主用戶、系統(tǒng)管理員。學(xué)生用戶是兼職崗位的供給方核心操作路徑是注冊登錄、瀏覽崗位、報名崗位、查看錄用結(jié)果、簽到打卡、查看工資結(jié)算。雇主用戶是崗位的需求方核心操作路徑是發(fā)布崗位、審核報名、安排排班、標(biāo)記簽到、確認(rèn)完成、結(jié)算工資。系統(tǒng)管理員則負(fù)責(zé)用戶管理、崗位審核、舉報處理、數(shù)據(jù)統(tǒng)計。這里有一個很常見的設(shè)計誤區(qū)很多畢設(shè)項目把學(xué)生和雇主做成兩個完全獨立的表導(dǎo)致后續(xù)登錄邏輯、權(quán)限判斷、關(guān)聯(lián)查詢?nèi)恳獙憙商?。更合理的做法是設(shè)計一張統(tǒng)一的用戶表用role字段區(qū)分角色學(xué)生信息和雇主信息分別用擴展表存儲這樣登錄接口只需要查一張表后續(xù)擴展其他角色比如校園代理、社團管理員也只需要改枚舉值。權(quán)限控制層面我建議直接用Spring Security做登錄認(rèn)證和角色授權(quán)配合PreAuthorize注解在Controller層做接口級權(quán)限管控。例如發(fā)布崗位的接口只允許ROLE_EMPLOYER訪問報名崗位的接口只允許ROLE_STUDENT訪問管理員的接口只允許ROLE_ADMIN訪問。JWT令牌用于無狀態(tài)認(rèn)證Redis用于存儲登錄態(tài)和Token黑名單這樣即使Token被截獲也能通過Redis快速失效處理。2.2 核心功能模塊逐層拆解整個系統(tǒng)的功能模塊可以拆成七個核心部分每一個都對應(yīng)真實業(yè)務(wù)場景中的具體閉環(huán)。用戶模塊注冊登錄、個人信息維護、學(xué)生技能標(biāo)簽管理、雇主資質(zhì)認(rèn)證。注冊時需要做手機號唯一性校驗密碼必須加密存儲BCrypt雇主認(rèn)證需要上傳營業(yè)執(zhí)照或校園店鋪證明管理員后臺審核。崗位模塊崗位發(fā)布、崗位審核、崗位上下架、崗位分類管理。崗位字段建議包括崗位名稱、工作類型全職兼職均可、薪資標(biāo)準(zhǔn)時薪或日薪、工作地點、開始時間、結(jié)束時間、報名截止時間、人數(shù)上限、崗位描述、技能標(biāo)簽、緊急程度。這個模塊是整個系統(tǒng)的核心數(shù)據(jù)源頭字段設(shè)計是否合理直接影響后續(xù)的檢索、報名、考勤功能。報名模塊學(xué)生報名崗位、雇主查看報名列表、雇主篩選/錄用/拒絕、學(xué)生取消報名。這里有兩個細節(jié)值得注意一是報名狀態(tài)機要設(shè)計完整——已報名、已錄用、已拒絕、已取消、已完成二是要防止重復(fù)報名需要在application_record表上對student_id job_id做唯一約束。考勤與結(jié)算模塊學(xué)生到崗簽到、離崗簽退、雇主確認(rèn)工時、系統(tǒng)自動計算工資、工資賬單生成、提現(xiàn)申請。建議用Quartz做一個定時任務(wù)每晚凌晨自動檢查所有進行中的崗位對未按時簽到的學(xué)生發(fā)送站內(nèi)信提醒。工資結(jié)算按實際簽到工時計算以小時為單位保留兩位小數(shù)。消息通知模塊系統(tǒng)站內(nèi)信、報名狀態(tài)變更通知、崗位上線提醒、工資結(jié)算通知。站內(nèi)信表設(shè)計時注意區(qū)分已讀/未讀狀態(tài)未讀數(shù)量在用戶登錄后通過一個接口拉取在頁面頂部展示紅點。數(shù)據(jù)統(tǒng)計模塊學(xué)生端展示累計收入、報名成功率和待辦事項雇主端展示崗位報名趨勢、月度支出報表管理員端展示平臺總用戶數(shù)、崗位發(fā)布數(shù)、成交單數(shù)和交易總額。統(tǒng)計功能建議引入Elasticsearch做聚合查詢?nèi)绻L問量不大直接用MySQL的GROUP BY也沒問題看項目時間安排。搜索模塊按關(guān)鍵詞搜索崗位、按分類篩選、按薪資區(qū)間篩選、按距離篩選。這里用Elasticsearch做全文檢索體驗最好搜索結(jié)果可以直接按相關(guān)度排序。如果項目工期緊張用MySQL的LIKE模糊查詢也能支撐到一定數(shù)據(jù)量但答辯時講清楚選型理由很重要。2.3 數(shù)據(jù)庫設(shè)計的關(guān)鍵取舍數(shù)據(jù)庫設(shè)計是這類系統(tǒng)最容易翻車的環(huán)節(jié)我見過太多項目在答辯時被老師追問表結(jié)構(gòu)設(shè)計而答不上來。校園兼職系統(tǒng)的核心表至少包括以下幾張。user用戶表id, username, password, phone, email, avatar, role, status, create_timestudent_profile學(xué)生擴展表id, user_id, school, major, grade, skills, self_introemployer_profile雇主擴展表id, user_id, company_name, license_no, contact_name, contact_phone, verifiedjob崗位表id, employer_id, title, type, salary, salary_unit, address, start_time, end_time, deadline, max_people, description, status, view_countjob_tag崗位標(biāo)簽表id, job_id, tag_nameapplication_record報名記錄表id, job_id, student_id, status, apply_time, interview_note, result_noteattendance_record考勤記錄表id, job_id, student_id, check_in_time, check_out_time, hours, statussettlement結(jié)算表id, job_id, student_id, total_amount, status, pay_timemessage站內(nèi)信表id, user_id, content, type, is_read, create_timecomplaint舉報表id, reporter_id, target_id, target_type, reason, status, handle_result幾個關(guān)鍵設(shè)計的取舍依據(jù)薪資字段不建議用浮點數(shù)用DECIMAL(10, 2)更精確避免工資計算出現(xiàn)0.1 0.2精度問題標(biāo)簽不直接存在job表的一個字段里而是單獨建關(guān)聯(lián)表因為崗位和標(biāo)簽是多對多關(guān)系方便后續(xù)按標(biāo)簽檢索考勤和結(jié)算分開建表考勤記錄每天產(chǎn)生多條結(jié)算每月產(chǎn)生一條兩者通過job_id student_id關(guān)聯(lián)避免重復(fù)計算。3. SpringBoot項目搭建與核心代碼實現(xiàn)3.1 項目初始化與目錄結(jié)構(gòu)規(guī)范SpringBoot項目的搭建流程非常固定我用Maven作為構(gòu)建工具JDK版本選擇1.8或11建議11部分新依賴對舊版本兼容性開始變差SpringBoot版本選擇2.7.x。這個版本穩(wěn)定、資料多、坑少不要一上來就追3.x很多第三方Starter還沒適配好。標(biāo)準(zhǔn)目錄結(jié)構(gòu)建議如下src/main/java/com/campus/parttime/ ├── config/ // 配置類SecurityConfig, RedisConfig, MybatisPlusConfig ├── controller/ // 控制器AuthController, JobController, ApplicationController ├── service/ // 服務(wù)層接口 實現(xiàn)類 ├── mapper/ // 數(shù)據(jù)訪問層MyBatis-Plus的Mapper接口 ├── entity/ // 實體類User, Job, ApplicationRecord等 ├── dto/ // 數(shù)據(jù)傳輸對象登錄請求、崗位發(fā)布請求等 ├── vo/ // 視圖對象登錄響應(yīng)、崗位詳情響應(yīng)等 ├── common/ // 通用類統(tǒng)一返回結(jié)果, 異常處理, 常量定義 ├── utils/ // 工具類JWT工具, 日期工具, 文件上傳工具 src/main/resources/ ├── application.yml // 配置文件 ├── mapper/ // MyBatis XML映射文件 ├── static/ // 靜態(tài)資源 ├── templates/ // 模板文件前后端分離時可不使用entity、dto、vo三個包經(jīng)常被新手混為一談這里重點解釋一下區(qū)別。entity是和數(shù)據(jù)庫表字段一一對應(yīng)的類不應(yīng)該有額外的業(yè)務(wù)字段dto是接口接收參數(shù)的載體比如發(fā)布崗位時前端傳來的JSON可能包含數(shù)據(jù)庫中沒有的組合字段也可能缺少數(shù)據(jù)庫中有默認(rèn)值的字段vo是接口返回給前端的數(shù)據(jù)載體比如崗位詳情需要附帶雇主的店鋪名稱和評分這個信息在實體類中并不存在。分層清晰后接口參數(shù)校驗、數(shù)據(jù)脫敏、聯(lián)合查詢邏輯都更方便處理。3.2 前后端分離接口設(shè)計與統(tǒng)一返回結(jié)構(gòu)前后端分離模式下接口設(shè)計要有統(tǒng)一規(guī)范否則聯(lián)調(diào)階段會非常痛苦。我建議所有接口統(tǒng)一返回以下結(jié)構(gòu)public class ResultT { private Integer code; private String message; private T data; }成功返回code 200業(yè)務(wù)失敗返回對應(yīng)的錯誤碼比如參數(shù)錯誤400、未登錄401、無權(quán)限403、資源不存在404系統(tǒng)異常返回500。前端根據(jù)code統(tǒng)一攔截處理錯誤提示不依賴HTTP狀態(tài)碼做業(yè)務(wù)判斷這樣前后端的協(xié)作模式非常清晰。以崗位模塊為例核心接口定義如下GET /api/jobs?page1size10keyword兼職type1分頁查詢崗位列表GET /api/jobs/{id}查看崗位詳情同時將崗位瀏覽量1POST /api/jobs發(fā)布崗位雇主權(quán)限PUT /api/jobs/{id}修改崗位信息崗位下架后允許修改DELETE /api/jobs/{id}下架崗位POST /api/jobs/{id}/apply學(xué)生報名崗位GET /api/jobs/{id}/applications查看崗位報名列表雇主權(quán)限PUT /api/applications/{id}/status更新報名狀態(tài)錄用/拒絕接口設(shè)計原則是資源導(dǎo)向 HTTP方法語義化不要出現(xiàn)/getJobList、/updateJobStatus這類動詞式接口。Resource-based URL在答辯時是加分項考官會覺得你的設(shè)計思路是專業(yè)的。3.3 Spring Security JWT身份認(rèn)證的落地身份認(rèn)證是這類系統(tǒng)的核心安全環(huán)節(jié)這里給出完整的實現(xiàn)思路。依賴配置spring-boot-starter-security jjwt核心邏輯分四步走。第一步自定義UserDetailsService從user表加載用戶信息并包裝成UserDetails對象。第二步自定義JwtAuthenticationFilter在OncePerRequestFilter中解析請求頭里的Token校驗簽名并通過后把用戶信息放入SecurityContextHolder。第三步在SecurityConfig中配置放行規(guī)則登錄注冊接口、崗位查詢接口、崗位詳情接口放行其余接口需要認(rèn)證。第四步密碼使用BCrypt加密存儲登錄時調(diào)用PasswordEncoder.matches()做校驗。Configuration EnableWebSecurity public class SecurityConfig { Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http.csrf().disable() .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS) .and() .authorizeRequests() .antMatchers(/api/auth/**, /api/jobs, /api/jobs/{id}).permitAll() .antMatchers(/api/employer/**).hasRole(EMPLOYER) .antMatchers(/api/admin/**).hasRole(ADMIN) .anyRequest().authenticated() .and() .addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class); return http.build(); } }這段配置中有幾個細節(jié)值得強調(diào)。csrf().disable()在前后端分離JWT模式下是安全的選擇因為CSRF攻擊的核心是瀏覽器自動攜帶Cookie而JWT存儲在請求頭中不受這個威脅。SessionCreationPolicy.STATELESS表示不創(chuàng)建HttpSession服務(wù)端不保存用戶狀態(tài)這和后端無狀態(tài)設(shè)計的目標(biāo)一致。antMatchers的優(yōu)先級是從上到下匹配的路徑通配符的精確程度要按照從特寫到泛化的順序?qū)懛駝t會出現(xiàn)權(quán)限繞過的隱患。3.4 崗位發(fā)布到結(jié)算的完整業(yè)務(wù)流實現(xiàn)這里我完整走一遍核心業(yè)務(wù)流從雇主發(fā)布崗位開始到學(xué)生最終收到工資結(jié)束這整個流程是系統(tǒng)的主干線。崗位發(fā)布與狀態(tài)流轉(zhuǎn)。雇主提交崗位信息后系統(tǒng)生成一條status 0待審核的記錄管理員在后臺審核通過后變?yōu)閟tatus 1招聘中報名截止后自動變?yōu)閟tatus 2已截止崗位時間結(jié)束后變?yōu)閟tatus 3已完成雇主可手動操作下架變?yōu)閟tatus 4已下架。整個狀態(tài)流轉(zhuǎn)邏輯在JobService中實現(xiàn)關(guān)鍵方法是changeJobStatus(Long jobId, Integer targetStatus)方法內(nèi)部做狀態(tài)校驗非法的狀態(tài)變化直接拋業(yè)務(wù)異常。報名與錄用。學(xué)生在崗位詳情頁點擊報名后端先校驗崗位狀態(tài)是否為招聘中、報名人數(shù)是否已達上限、當(dāng)前用戶是否已報名三個條件都通過后創(chuàng)建報名記錄。雇主的報名管理頁面展示所有報名學(xué)生可按時間排序、按技能標(biāo)簽篩選錄用后系統(tǒng)自動給學(xué)生發(fā)送站內(nèi)信。這里有一個細節(jié)學(xué)生被錄用后需要在24小時內(nèi)確認(rèn)否則系統(tǒng)自動釋放名額并通知雇主這個功能可以通過Quartz定時任務(wù)實現(xiàn)也可以在下一次報名時做deadline校驗?？记谂c工時統(tǒng)計。學(xué)生到崗后在手機上點擊簽到系統(tǒng)記錄check_in_time離崗時點擊簽退系統(tǒng)自動計算hours保留一位小數(shù)。出現(xiàn)異常情況比如未簽到、早退時雇主的考勤管理界面可以手動修正。建議在考勤接口中增加地理位置校驗用高德或百度地圖API獲取GPS定位與崗位地址做距離計算距離超過500米時拒絕簽到。這個功能在真實場景中非常有效答辯時也是加分項。工資結(jié)算。崗位結(jié)束后系統(tǒng)根據(jù)考勤記錄自動匯總每個學(xué)生的總工時按照崗位設(shè)定的小時薪資計算應(yīng)發(fā)金額生成結(jié)算單推送到學(xué)生端。學(xué)生確認(rèn)后雇主在結(jié)算頁面完成付款操作系統(tǒng)更新狀態(tài)為已結(jié)算。這里可以接入一個體現(xiàn)項目亮點的技術(shù)細節(jié)引入RabbitMQ或Kafka做消息隊列把簽到/簽退 - 工時計算 - 結(jié)算單生成的流程異步化降低接口響應(yīng)時間同時保證數(shù)據(jù)不丟失。3.5 Vue前端對接SpringBoot接口的要點前端我選用Vue 3 Element Plus組合用Vite構(gòu)建通過Axios調(diào)用后端接口。開發(fā)環(huán)境通過Vite的proxy配置解決跨域問題// vite.config.js export default defineConfig({ server: { proxy: { /api: { target: http://localhost:8080, changeOrigin: true } } } })生產(chǎn)部署時將Vue打包后的dist目錄文件復(fù)制到SpringBoot的src/main/resources/static目錄下或者通過Nginx反向代理將/api路徑轉(zhuǎn)發(fā)到SpringBoot服務(wù)靜態(tài)頁面由Nginx直接托管。這兩種方式我都實測過Nginx方式更推薦因為靜態(tài)資源由Nginx處理性能更好后端服務(wù)壓力更小。Axios攔截器的配置是這個環(huán)節(jié)的關(guān)鍵點。請求攔截器統(tǒng)一從localStorage取出JWT Token設(shè)置到請求頭Authorization中響應(yīng)攔截器統(tǒng)一處理錯誤碼遇到401時跳轉(zhuǎn)到登錄頁并清除本地緩存的Token。這個邏輯一次寫好后所有頁面都自動帶上認(rèn)證信息不用每個接口單獨處理。axios.interceptors.request.use(config { const token localStorage.getItem(token) if (token) { config.headers.Authorization Bearer ${token} } return config }) axios.interceptors.response.use( response response.data, error { if (error.response.status 401) { localStorage.removeItem(token) router.push(/login) } return Promise.reject(error) } )4. 系統(tǒng)測試與部署實踐4.1 功能測試用例設(shè)計的重點場景系統(tǒng)測試不能只測能跑通要針對每個模塊設(shè)計正常流、異常流、邊界值三類用例。我建議重點覆蓋以下場景。用戶注冊手機號格式錯誤、手機號已注冊、兩次密碼不一致、注冊成功跳轉(zhuǎn)登錄頁。密碼強度校驗要前后端雙端做前端防止普通用戶誤操作后端防止惡意請求繞開前端直接打接口。崗位發(fā)布必填字段缺失、薪資為負(fù)數(shù)、時間格式錯誤、報名截止時間早于當(dāng)前時間、崗位描述超過長度限制。時間相關(guān)的校驗特別容易遺漏很多用戶會填一個過期的截止時間系統(tǒng)要有兜底校驗。報名崗位重復(fù)報名、崗位已滿員、崗位已過期、未登錄時點擊報名跳轉(zhuǎn)登錄頁、錄用后取消報名限制條件崗位開始前24小時內(nèi)不允許取消。業(yè)務(wù)規(guī)則要在Service層做校驗Controller層只做參數(shù)格式校驗兩層職責(zé)要分明。并發(fā)場景多個學(xué)生同時報名最后一個名額系統(tǒng)不能出現(xiàn)超賣問題。這個功能可以用兩種方式實現(xiàn)一是報名前先SELECT ... FOR UPDATE鎖定崗位記錄校驗名額后插入報名記錄并更新已報人數(shù)事務(wù)提交后釋放鎖二是用Redis的INCR原子操作做計數(shù)器。第一種適合中小規(guī)模系統(tǒng)實現(xiàn)簡單、可讀性好。4.2 Linux服務(wù)器部署與SpringBoot項目打包部署環(huán)節(jié)是很多學(xué)生項目的薄弱點但又是答辯時一個講得好的加分項。建議購買一臺最低配的云服務(wù)器2核4G足夠安裝JDK 8/11、MySQL 5.7、Redis、Nginx后端使用Maven打包成可執(zhí)行JAR。# 打包跳過單元測試 mvn clean package -DskipTests # 啟動后端 nohup java -jar campus-parttime-0.0.1-SNAPSHOT.jar \ --server.port8080 \ --spring.profiles.activeprod \ app.log 21 # Nginx配置將Web靜態(tài)頁面和API請求分流處理 server { listen 80; server_name your_domain_or_ip; location /api/ { proxy_pass http://127.0.0.1:8080; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; } location / { root /usr/share/nginx/html; index index.html; } }profiles.activeprod這個參數(shù)值得展開講一下。SpringBoot支持多環(huán)境配置application-dev.yml、application-prod.yml分別存儲開發(fā)和生產(chǎn)環(huán)境的數(shù)據(jù)庫地址、Redis地址、日志級別等配置。開發(fā)環(huán)境用本地庫日志級別設(shè)為DEBUG方便調(diào)試生產(chǎn)環(huán)境用服務(wù)器數(shù)據(jù)庫日志級別設(shè)為INFO減少磁盤消耗。切換環(huán)境只改啟動參數(shù)代碼完全不動這是SpringBoot的經(jīng)典實踐。部署過程中我踩過一個典型坑需要提醒服務(wù)器防火墻默認(rèn)只開放22端口如果忘記在安全組中放行80端口的HTTP請求瀏覽器訪問頁面會顯示連接超時但你在服務(wù)器本機用curl測試卻是正常的。排查方法是先在本機curl localhost:8080看后端是否正常再用curl 服務(wù)器公網(wǎng)IP從外部訪問驗證最后檢查云服務(wù)商的安全組入方向規(guī)則。4.3 上線前的安全加固要點清單安全話題在所有Web項目中都是嚴(yán)肅問題校園兼職系統(tǒng)涉及用戶身份信息和資金結(jié)算更不能掉以輕心。我從實際開發(fā)中總結(jié)出一份上線前的安全檢查清單按優(yōu)先級排列。SQL注入防護使用MyBatis的#{}預(yù)編譯參數(shù)永遠不會拼接SQL動態(tài)條件查詢用MyBatis-Plus的QueryWrapper構(gòu)造器禁止在任何場景下用字符串拼接SQL。XSS攻擊防護前端對用戶輸入做轉(zhuǎn)義處理富文本內(nèi)容使用白名單過濾xss過濾器后端對輸出到頁面的字段統(tǒng)一做HTML轉(zhuǎn)義。越權(quán)訪問防護接口不僅要驗證登錄狀態(tài)還要驗證數(shù)據(jù)歸屬。比如學(xué)生A只能查看自己的報名記錄不能通過篡改id參數(shù)看到學(xué)生B的記錄。我在ApplicationService中封裝了一個checkOwnership(userId, recordId)方法所有涉及個人數(shù)據(jù)的接口都要先調(diào)用這個方法做歸屬校驗。上傳文件安全如果系統(tǒng)支持用戶上傳頭像或資質(zhì)證明一定要對文件類型做校驗不僅要檢查文件擴展名還要檢查文件內(nèi)容的Content-Type魔數(shù)防止上傳偽裝成圖片的惡意文件。文件存儲路徑要隨機化命名不要使用用戶可控的原始文件名。日志敏感信息脫敏用戶手機號、密碼已經(jīng)是加密密文、Token等信息打印到日志時要脫敏手機號中間四位用*替換。這個細節(jié)雖然不影響功能但體現(xiàn)了開發(fā)者的工程素養(yǎng)答辯時主動提到會留下好印象。5. 項目演示與答辯要點梳理5.1 演示流程的黃金路徑設(shè)計畢業(yè)設(shè)計答辯時演示環(huán)節(jié)一般只有5到10分鐘你不可能把所有功能都點一遍必須設(shè)計一條能體現(xiàn)系統(tǒng)完整性和技術(shù)亮點的黃金路徑。我個人推薦按雇主發(fā)布 - 學(xué)生報名 - 雇主管錄用 - 學(xué)生簽到 - 系統(tǒng)結(jié)算這條完整業(yè)務(wù)鏈來演示。第一步用雇主賬號登錄發(fā)布一個校園快遞驛站周末分揀的崗位選擇分類、填寫薪資、設(shè)置時間。第二步切到學(xué)生賬號在崗位列表中找到剛發(fā)布的崗位通過關(guān)鍵詞搜索可以直接搜到點擊報名。第三步切回雇主賬號在報名列表中看到這條報名記錄點擊錄用系統(tǒng)提示發(fā)送通知成功。第四步切到學(xué)生賬號在我的崗位中看到已錄用的狀態(tài)點擊簽到模擬打卡成功。第五步切到雇主賬號在結(jié)算頁面看到自動生成的工資單點擊確認(rèn)結(jié)算學(xué)生端收到到賬通知。這條路徑覆蓋了用戶模塊、崗位模塊、報名模塊、考勤模塊、結(jié)算模塊和消息模塊每個步驟前后都有狀態(tài)變化和消息通知整個演示一氣呵成。為了演示時不怯場建議提前把測試數(shù)據(jù)準(zhǔn)備好預(yù)置幾個學(xué)生賬號、幾個雇主賬號、幾十條崗位數(shù)據(jù)避免現(xiàn)場臨時造數(shù)據(jù)浪費時間。5.2 答辯重點問題預(yù)判與回答思路答辯時老師最喜歡追問的幾個問題我提前給你整理好應(yīng)對思路。問為什么選擇SpringBoot而不是SSM回答要點SpringBoot是SSM的演進框架核心優(yōu)勢是自動配置降低了搭建成本內(nèi)嵌Tomcat解決了外部容器依賴Spring生態(tài)的整合體驗更好社區(qū)活躍度和就業(yè)市場的技術(shù)要求也更偏向SpringBoot。這是一個開放題關(guān)鍵是讓老師知道你確實理解兩種方案的差異而不是只會說SpringBoot更流行。問并發(fā)報名時如何防止超賣回答要點數(shù)據(jù)庫樂觀鎖或悲觀鎖機制。悲觀鎖是在事務(wù)中SELECT ... FOR UPDATE鎖定崗位記錄直到報名流程結(jié)束才釋放鎖能保證同一時刻只有一個線程在更新報名人數(shù)。另外還可以補充Redis原子計數(shù)方案作為擴展思路說明你能根據(jù)不同規(guī)模場景選擇技術(shù)方案。問如果崗位量到了十萬級搜索功能怎么優(yōu)化回答要點MySQLLIKE %關(guān)鍵詞%無法走索引數(shù)據(jù)量大時查詢性能會嚴(yán)重下降。方案是引入Elasticsearch將崗位索引化檢索走ES詳細數(shù)據(jù)回查MySQL。如果項目沒有實際接ES就說當(dāng)前使用MySQL的IN查詢分類篩選已滿足百級到千級崗位量的場景并解釋ES的引入代價和收益權(quán)衡。問為什么用JWT不用Session回答要點校園兼職系統(tǒng)是前后端分離架構(gòu)接口可能被App、Web、甚至小程序端共用Session天然不適合跨端共享狀態(tài)。JWT無狀態(tài)、可攜帶用戶信息、適合分布式部署。但JWT也有Token吊銷困難的問題所以系統(tǒng)用Redis維護Token黑名單作為補充方案。能主動說出JWT的局限性是回答的高階加分項。5.3 從畢設(shè)到實際產(chǎn)品的擴展思路如果這個系統(tǒng)完成了畢設(shè)之后你還想繼續(xù)深入迭代有幾個方向是值得考慮的移動端適配后續(xù)改造為uniapp小程序版本智能匹配推薦算法基于學(xué)生技能標(biāo)簽和歷史報名記錄用協(xié)同過濾推薦崗位企業(yè)信用評分體系結(jié)合完單率、好評率等維度建立信用分機制多校域部署與數(shù)據(jù)隔離方案一套代碼部署多校通過school_id字段隔離數(shù)據(jù)。6. 開發(fā)過程中的常見問題與避坑記錄6.1 MyBatis-Plus分頁查詢的經(jīng)典問題MyBatis-Plus的分頁插件與SpringBoot整合時需要注意舊版本3.5.x之前需要手動配置MybatisPlusInterceptor而在3.5.x之后建議使用PaginationInnerInterceptor。如果發(fā)現(xiàn)分頁查出來的total始終為0要么是total字段沒被正確返回要么是沒注冊分頁攔截器。Configuration public class MybatisPlusConfig { Bean public MybatisPlusInterceptor mybatisPlusInterceptor() { MybatisPlusInterceptor interceptor new MybatisPlusInterceptor(); interceptor.addInnerInterceptor(new PaginationInnerInterceptor(DbType.MYSQL)); return interceptor; } }另一個常見的坑是在Mapper接口中寫自定義SQL時方法的返回類型一定不能返回實體類ListEntity而要返回IPageEntity否則分頁信息會丟失。這個我踩過好幾次花了半天時間才定位到是返回類型的問題。6.2 JWT過期時間與自動刷新的處理JWT的過期時間設(shè)置需要平衡安全性和用戶體驗設(shè)置太短用戶要頻繁登錄設(shè)置太長Token泄露風(fēng)險高。我的做法是access_token設(shè)置為30分鐘過期refresh_token設(shè)置為7天用戶每次請求時如果發(fā)現(xiàn)access_token過期就用refresh_token向/api/auth/refresh接口換取新的access_token。前端在Axios響應(yīng)攔截器中統(tǒng)一處理這個邏輯用戶完全無感知。前端實現(xiàn)的關(guān)鍵代碼如下axios.interceptors.response.use( response response.data, async error { const originalRequest error.config if (error.response.status 401 !originalRequest._retry) { originalRequest._retry true const refreshToken localStorage.getItem(refreshToken) if (refreshToken) { const res await axios.post(/api/auth/refresh, { refreshToken }) localStorage.setItem(token, res.data.token) return axios(originalRequest) } } router.push(/login) return Promise.reject(error) } )這里容易踩的坑是refresh_token接口本身請求失敗時也走401分支會導(dǎo)致死循環(huán)。所以需要在請求對象上加一個_retry標(biāo)記同一個請求只允許重試一次。6.3 日期時間字段時區(qū)問題這個問題的坑特別隱蔽。SpringBoot默認(rèn)的URL參數(shù)格式是yyyy-MM-dd HH:mm:ss當(dāng)你用JSON字符串傳日期時如果前后端時區(qū)不一致數(shù)據(jù)庫存進去的時間會差8小時。我在application.yml中顯式配置spring: jackson: date-format: yyyy-MM-dd HH:mm:ss time-zone: GMT8同時數(shù)據(jù)庫連接串中也加serverTimezoneAsia/ShanghaiuseSSLfalse參數(shù)雙端都統(tǒng)一到東八區(qū)才能徹底解決時間字段的偏移問題。如果不做這個配置用戶看到的上午10點可能在數(shù)據(jù)庫里存的是凌晨2點工資按時結(jié)算時會出現(xiàn)幾小時的統(tǒng)計誤差。6.4 文件上傳大小限制如果系統(tǒng)支持學(xué)生上傳簡歷或資質(zhì)照片SpringBoot默認(rèn)的文件上傳大小為1MB很容易就超限。需要在配置文件中調(diào)大限額spring: servlet: multipart: max-file-size: 10MB max-request-size: 20MB同時在Nginx層也需要同步調(diào)整client_max_body_size參數(shù)否則Nginx會在上游服務(wù)收到請求之前直接返回413錯誤。這個雙端配置的問題排查起來很費時間建議一開始就把兩層的限制都設(shè)置好。6.5 定時任務(wù)遺漏執(zhí)行的數(shù)據(jù)補償方案用Quartz做定時任務(wù)時如果服務(wù)器在任務(wù)執(zhí)行期間重啟可能會有部分任務(wù)沒有執(zhí)行到位比如結(jié)算任務(wù)、考勤提醒任務(wù)。我建議在定時任務(wù)邏輯中增加冪等性設(shè)計任務(wù)執(zhí)行前先查詢狀態(tài)已處理過的記錄直接跳過執(zhí)行過程中記錄任務(wù)的執(zhí)行日志再次啟動時可以從上次中斷的位置繼續(xù)。另外如果是分布式部署的場景需要在Quartz配置中啟用集群模式org.quartz.jobStore.isClustered: true并用數(shù)據(jù)庫表作為任務(wù)存儲介質(zhì)否則多實例會重復(fù)執(zhí)行同一個任務(wù)。7. 實操心得與個人建議這個系統(tǒng)我從需求分析到部署上線前后花了三個星期實際開發(fā)中最大的體會就是畢業(yè)設(shè)計類項目不怕功能少怕的是主流程不完整、工程規(guī)范不到位。老師評判一個系統(tǒng)的好壞往往不是看你有多少個花哨的頁面而是看你有沒有把一條核心業(yè)務(wù)線從用戶表到數(shù)據(jù)庫、從接口到頁面完整走通代碼是否分層清晰、是否符合基本的工程規(guī)范。如果時間有限我給一個優(yōu)先級建議先做核心業(yè)務(wù)閉環(huán)再回頭補功能模塊。把發(fā)布崗位 - 搜索 - 報名 - 錄用 - 簽到 - 結(jié)算這條鏈路打通系統(tǒng)就已經(jīng)達到了及格線以上。然后依次補充消息通知、數(shù)據(jù)統(tǒng)計、舉報處理、信用評價這些外圍功能。千萬不要一開始就在視頻上傳、聊天IM這種高難度功能上耗時間那些功能雖然吸引眼球但對主流程沒有實質(zhì)性幫助而且一旦卡住會嚴(yán)重拖累整體進度。最后再分享一個實用的小技巧開發(fā)階段一定要多用真實數(shù)據(jù)測試。我建了大量模擬崗位和學(xué)生信息包括各種極端數(shù)據(jù)超大文本、特殊字符、邊界時間提前暴露出很多接口在非正常輸入下的問題。別怕麻煩這些問題在答辯演示時被現(xiàn)場觸發(fā)才是最尷尬的事情。測試數(shù)據(jù)建議寫成SQL腳本放在resources/sql目錄下每次重建數(shù)據(jù)庫后一鍵導(dǎo)入省去手工造數(shù)據(jù)的重復(fù)勞動。