简介本资源是一套完整的毕业设计项目——基于SSM框架的二手车交易平台面向Java初学者与高校计算机专业本科生聚焦Web应用开发实战解决课程设计、毕设选题与Spring生态项目落地等实际需求。压缩包为ZIP格式大小21.7MB内含完整可运行代码及配套MySQL数据库脚本涵盖Controller、Service、Mapper层逻辑、JSP前端页面、配置文件与SQL建表语句等核心模块结构清晰便于理解MVC分层设计与前后端交互流程。已有488人学习下载适合用于快速搭建本地开发环境、调试权限管理功能、分析典型电商类业务如车辆发布、搜索、用户收藏、订单流程的SSM实现方案。读者可直接导入IDEA/Eclipse运行结合Tomcat部署调试深入掌握SpringSpringMVCMyBatis整合要点、JSP动态页面开发及常见安全漏洞检测思路。1. 为什么一个基于SSM的二手车交易平台至今仍是Java Web初学者绕不开的“练手标尺”你可能已经看过几十个“SpringBootVue”的二手车项目但真正能让你看清MVC分层边界、理解请求如何从JSP页面穿透到MyBatis映射器、搞懂Filter与Interceptor执行顺序的往往还是这个用Tomcat原生部署、JSP混编HTML、XML配置满天飞的SSM老项目。它不炫技不追求高并发但每一行代码都在暴露Java Web基础链路的真实断点比如web.xml里load-on-startup1/load-on-startup的加载时机、spring-mvc.xml中mvc:annotation-driven /背后触发的RequestMappingHandlerMapping注册逻辑、甚至sqlMapConfig.xml里typeAlias与mapper路径拼接失败时抛出的Invalid bound statement (not found)异常——这些不是面试八股文里的抽象描述而是你在调试登录跳转404或商品列表查不到数据时必须亲手翻日志、改配置、重部署才能解决的具体问题。它适合两类人刚学完Servlet生命周期、正卡在“为什么Controller返回ModelAndView却渲染不出JSP”的大三学生以及想带新人快速建立Web请求全链路感知、避免一上来就陷入SpringBoot自动配置黑盒的团队技术负责人。2. SSM三层架构落地从Spring容器初始化到MyBatis动态SQL执行的完整链路2.1 Spring IoC容器启动ContextLoaderListener如何接管Tomcat生命周期SSM项目启动的第一道关卡是web.xml中ContextLoaderListener的注册。它并非Spring MVC专属而是整个Spring根容器的入口!-- web.xml -- listener listener-classorg.springframework.web.context.ContextLoaderListener/listener-class /listener context-param param-namecontextConfigLocation/param-name param-valueclasspath:spring-context.xml/param-value /context-param注意contextConfigLocation指定的是Spring根容器Service/DAO层配置文件而非SpringMVC的配置。若此处路径错误或文件缺失Tomcat启动时会抛出java.lang.NoClassDefFoundError: org/springframework/web/context/ContextLoaderListener——这不是类路径问题而是spring-web.jar未正确引入导致的ClassNotFoundException需检查WEB-INF/lib下是否包含该jar。ContextLoaderListener在ServletContext初始化时调用initWebApplicationContext()加载spring-context.xml并创建XmlWebApplicationContext。此时所有Service、Repository标注的Bean被实例化、依赖注入完成但Controller不会在此阶段加载——它们由SpringMVC子容器管理。这种父子容器分离设计直接决定了事务注解Transactional只能作用于Service层方法因为事务管理器tx:annotation-driven /配置在根容器中而Controller所在的子容器无法访问父容器的AOP代理。2.1.1 验证容器层级通过日志定位Bean归属启动Tomcat后在控制台搜索Root WebApplicationContext和FrameworkServlet关键字Root WebApplicationContext: initialization completed in XXX ms→ 根容器加载完成Initializing Servlet springmvc→ SpringMVC子容器启动若看到No qualifying bean of type [com.xxx.service.UserService]错误说明Service Bean未被根容器扫描到需检查spring-context.xml中context:component-scan base-packagecom.xxx.service /的包路径是否精确匹配实际目录结构注意斜杠方向与IDE包名显示一致。2.2 SpringMVC DispatcherServlet请求路由与视图解析的双引擎web.xml中DispatcherServlet的配置决定了HTTP请求如何进入MVC流程servlet servlet-namespringmvc/servlet-name servlet-classorg.springframework.web.servlet.DispatcherServlet/servlet-class init-param param-namecontextConfigLocation/param-name param-valueclasspath:spring-mvc.xml/param-value /init-param load-on-startup1/load-on-startup /servlet servlet-mapping servlet-namespringmvc/servlet-name url-pattern//url-pattern /servlet-mapping关键参数url-pattern//url-pattern表示拦截所有请求除静态资源外这要求spring-mvc.xml必须显式配置静态资源放行否则CSS/JS无法加载!-- spring-mvc.xml -- mvc:default-servlet-handler / !-- 或更精确的放行 -- mvc:resources mapping/static/** location/static/ /DispatcherServlet初始化时会加载spring-mvc.xml创建RequestMappingHandlerMapping处理RequestMapping、RequestMappingHandlerAdapter执行Controller方法、InternalResourceViewResolver解析JSP路径。以二手车首页为例其Controller方法签名如下Controller public class CarController { RequestMapping(value /index, method RequestMethod.GET) public String index(Model model) { ListCar cars carService.findAll(); // 调用Service层 model.addAttribute(carList, cars); return index; // 返回逻辑视图名 } }return index经InternalResourceViewResolver解析为/WEB-INF/jsp/index.jsp此路径必须与实际JSP文件位置严格一致。若返回redirect:/login则触发302重定向此时model数据丢失——这是SSM项目中常见的跳转数据传递陷阱解决方案是使用RedirectAttributespublic String loginSubmit(RedirectAttributes redirectAttrs) { redirectAttrs.addFlashAttribute(msg, 用户名或密码错误); return redirect:/login; }提示addFlashAttribute将数据存入HttpSession临时属性在重定向后的下一个请求中自动清除避免手动操作Session。2.3 MyBatis核心执行从XML映射到数据库结果集的逐层穿透MyBatis在SSM中承担DAO层职责其配置分散在mybatis-config.xml和Mapper XML文件中。spring-context.xml中SqlSessionFactoryBean的配置是关键枢纽bean idsqlSessionFactory classorg.mybatis.spring.SqlSessionFactoryBean property namedataSource refdataSource / property nameconfigLocation valueclasspath:mybatis-config.xml / property namemapperLocations valueclasspath:mapper/*.xml / /beanmapperLocations指定了所有Mapper XML文件路径若路径错误如写成classpath:mapper/**/*.xml但实际文件在src/main/resources/mapper/CarMapper.xml启动时会静默失败——SqlSessionFactory创建成功但Mapper接口无对应SQL调用时抛出Invalid bound statement异常。以查询二手车列表为例CarMapper.xml中的动态SQL体现SSM对复杂条件的支持select idfindCarsByCondition resultTypeCar SELECT * FROM car WHERE 11 if testbrand ! null and brand ! AND brand LIKE CONCAT(%, #{brand}, %) /if if testminPrice ! null AND price #{minPrice} /if if testmaxPrice ! null AND price #{maxPrice} /if ORDER BY create_time DESC /selectif标签的判断逻辑在MyBatis运行时解析#{}实现预编译防SQL注入CONCAT函数兼容MySQL。若切换为Oracle需改为% || #{brand} || %。此处resultTypeCar指向实体类全限定名若未配置typeAliases必须写com.xxx.entity.Car否则报Could not resolve type alias。2.3.1 数据库连接池验证Druid监控页面暴露真实瓶颈本项目通常使用Druid作为数据源其监控页面http://localhost:8080/druid是排查性能问题的第一现场。需在spring-context.xml中添加Druid监控Servletservlet servlet-nameDruidStatView/servlet-name servlet-classcom.alibaba.druid.support.http.StatViewServlet/servlet-class /servlet servlet-mapping servlet-nameDruidStatView/servlet-name url-pattern/druid/*/url-pattern /servlet-mapping访问监控页可查看SQL监控识别慢查询如未加索引的LIKE %关键词%数据源确认活跃连接数是否接近maxActive默认8若长期满载需调大参数WallFilter开启防火墙后拦截恶意SQL如UNION SELECT注入3. JSP页面渲染与交互从EL表达式到AJAX异步提交的实战细节3.1 JSP基础渲染EL表达式、JSTL标签与表单绑定的协同SSM项目中JSP不仅是模板更是MVC中View层的执行环境。index.jsp展示二手车列表时需正确解析Controller传入的carList% page contentTypetext/html;charsetUTF-8 languagejava % % taglib prefixc urihttp://java.sun.com/jsp/jstl/core % html headtitle二手车首页/title/head body c:forEach items${carList} varcar div classcar-item h3${car.brand} ${car.model}/h3 p价格fmt:formatNumber value${car.price} pattern¥#,##0.00//p a hrefcar/detail?id${car.id}查看详情/a /div /c:forEach /body /html关键点解析% taglib prefixc urihttp://java.sun.com/jsp/jstl/core %声明JSTL核心标签库需确保jstl.jar和standard.jar在WEB-INF/lib中${car.brand}EL表达式访问对象属性等价于car.getBrand()若属性不存在则返回空字符串而非报错fmt:formatNumber格式化数字需引入% taglib prefixfmt urihttp://java.sun.com/jsp/jstl/fmt %避免价格显示为120000.0注意JSP中${car.price}直接输出未转义的HTML内容若price字段含script标签会导致XSS。生产环境必须使用c:out value${car.price} /进行HTML转义。3.2 表单提交与数据绑定form:form标签与后端接收的精准匹配用户发布二手车信息时JSP表单需与后端Car实体类严格对应% taglib prefixform urihttp://www.springframework.org/tags/form % form:form action/car/add methodpost modelAttributecar form:input pathbrand placeholder品牌/ form:input pathmodel placeholder车型/ form:input pathprice typenumber step0.1/ form:textarea pathdescription rows3/ input typesubmit value发布/ /form:formmodelAttributecar绑定Controller中ModelAttribute(car) Car car参数path属性对应实体类字段名。若Car类中price为BigDecimal类型而表单提交字符串15.5SpringMVC会自动调用BigDecimal(String)构造器转换——但若输入abc则抛出TypeMismatchException需在Controller中捕获并返回错误页RequestMapping(value /car/add, method RequestMethod.POST) public String addCar(Valid ModelAttribute(car) Car car, BindingResult result, Model model) { if (result.hasErrors()) { model.addAttribute(errors, result.getAllErrors()); return car/add; // 返回原表单页 } carService.save(car); return redirect:/index; }Valid触发JSR-303校验BindingResult必须紧跟校验对象参数否则校验失效。3.3 AJAX异步交互jQuery与JSON数据的双向序列化二手车详情页常需异步加载关联信息如卖家信用评分此时需脱离JSP整页刷新// detail.jsp $.ajax({ url: /api/seller/rating, type: GET, data: {sellerId: ${car.sellerId}}, dataType: json, success: function(data) { $(#rating).text(信用分 data.score); } });后端Controller返回JSON需配置消息转换器!-- spring-mvc.xml -- mvc:annotation-driven mvc:message-converters register-defaultstrue bean classorg.springframework.http.converter.json.MappingJackson2HttpMessageConverter property namesupportedMediaTypes list valueapplication/json;charsetUTF-8/value /list /property /bean /mvc:message-converters /mvc:annotation-driven对应Controller方法RestController RequestMapping(/api/seller) public class SellerApiController { GetMapping(/rating) public MapString, Object getRating(RequestParam Long sellerId) { Seller seller sellerService.findById(sellerId); MapString, Object result new HashMap(); result.put(score, seller.getCreditScore()); result.put(level, seller.getCreditLevel()); return result; } }RestController替代ControllerResponseBody自动序列化Map为JSON。若返回中文乱码需在MappingJackson2HttpMessageConverter中设置charsetUTF-8或全局配置mvc:annotation-driven /的content-negotiation。4. 权限控制与安全加固Shiro集成与常见漏洞修复实践4.1 Shiro权限模型从INI配置到URL拦截的细粒度控制SSM项目常集成Apache Shiro实现权限管理。shiro.ini配置定义了认证与授权规则[main] authc org.apache.shiro.web.filter.authc.FormAuthenticationFilter authc.loginUrl /login authc.usernameParam username authc.passwordParam password [urls] /login anon /logout logout /user/** authc, roles[user] /admin/** authc, roles[admin] /** authc[urls]节中/user/** authc, roles[user]表示访问/user/下所有路径需先认证且用户角色必须包含user。若用户仅有guest角色访问/user/profile将被重定向至/login。Shiro Filter在web.xml中声明filter filter-nameshiroFilter/filter-name filter-classorg.springframework.web.filter.DelegatingFilterProxy/filter-class init-param param-nametargetFilterLifecycle/param-name param-valuetrue/param-value /init-param /filter filter-mapping filter-nameshiroFilter/filter-name url-pattern/*/url-pattern /filter-mappingDelegatingFilterProxy将过滤委托给Spring容器中的ShiroFilterFactoryBean因此shiroFilterBean必须在Spring配置中定义bean idshiroFilter classorg.apache.shiro.spring.web.ShiroFilterFactoryBean property namesecurityManager refsecurityManager/ property nameloginUrl value/login/ property namesuccessUrl value/index/ property nameunauthorizedUrl value/403/ property namefilterChainDefinitionMap refchainDefinitionMap/ /bean4.2 常见安全漏洞修复SQL注入、XSS与CSRF的三重防御4.2.1 SQL注入防护MyBatis参数化查询的强制约束本项目中所有数据库操作必须使用#{}而非${}。例如模糊查询!-- 安全预编译参数 -- WHERE title LIKE CONCAT(%, #{keyword}, %) !-- 危险字符串拼接易被注入 -- WHERE title LIKE %${keyword}%若业务必须动态表名如分表需白名单校验public ListCar findCarsByTable(String tableName) { // 白名单校验 if (!Arrays.asList(car_2023, car_2024).contains(tableName)) { throw new IllegalArgumentException(非法表名); } return carMapper.findCarsByDynamicTable(tableName); }4.2.2 XSS攻击拦截JSP输出转义与HTTP头设置在web.xml中启用HTTP响应头防御filter filter-namehttpHeaderSecurity/filter-name filter-classorg.apache.catalina.filters.HttpHeaderSecurityFilter/filter-class init-param param-nameantiClickJackingOption/param-name param-valueDENY/param-value /init-param /filter filter-mapping filter-namehttpHeaderSecurity/filter-name url-pattern/*/url-pattern /filter-mapping同时JSP中所有用户输入内容必须用c:out输出!-- 安全 -- c:out value${userInput} / !-- 危险 -- ${userInput}4.2.3 CSRF防护表单令牌与AJAX请求头同步Shiro默认开启CSRF保护需在表单中添加隐藏域form action/car/add methodpost input typehidden name${_csrf.parameterName} value${_csrf.token}/ !-- 其他字段 -- /formAJAX请求需从Meta标签读取Tokenmeta name_csrf content${_csrf.token}/ meta name_csrf_header content${_csrf.headerName}/var token $(meta[name_csrf]).attr(content); var header $(meta[name_csrf_header]).attr(content); $.ajaxSetup({ beforeSend: function(xhr) { xhr.setRequestHeader(header, token); } });5. 系统测试与部署Tomcat热部署调试与数据库脚本执行要点5.1 单元测试覆盖JUnitMockito验证Service层逻辑针对二手车交易核心逻辑如价格区间筛选编写Service层测试RunWith(MockitoJUnitRunner.class) public class CarServiceTest { InjectMocks private CarServiceImpl carService; Mock private CarMapper carMapper; Test public void should_find_cars_by_price_range() { // 给定 CarQuery query new CarQuery(); query.setMinPrice(new BigDecimal(50000)); query.setMaxPrice(new BigDecimal(150000)); ListCar mockCars Arrays.asList( new Car().setPrice(new BigDecimal(80000)), new Car().setPrice(new BigDecimal(120000)) ); Mockito.when(carMapper.findCarsByCondition(query)).thenReturn(mockCars); // 当 ListCar result carService.findCarsByCondition(query); // 那么 assertThat(result).hasSize(2); assertThat(result.get(0).getPrice()).isEqualTo(new BigDecimal(80000)); } }提示InjectMocks自动注入Mock对象避免手动new CarServiceImpl()导致依赖未初始化。测试前需确保pom.xml中junit和mockito-core版本兼容推荐JUnit 4.12 Mockito 2.23.4。5.2 数据库初始化SQL脚本执行顺序与字符集陷阱项目附带的database.sql需按顺序执行创建数据库CREATE DATABASE IF NOT EXISTS used_car DEFAULT CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;执行建表语句USE used_car; CREATE TABLE car (...);插入初始数据INSERT INTO user (username, password) VALUES (admin, e10adc3949ba59abbe56e057f20f883e);关键陷阱字符集utf8mb4支持emoji若用utf8MySQL中实际为utf8mb3插入表情会变?密码加密示例中e10adc3949ba59abbe56e057f20f883e是123456的MD5但生产环境应使用BCryptPasswordEncoder加密外键约束若先导入car表再导入user表因car.seller_id外键引用user.id会报Cannot add or update a child row错误5.3 Tomcat部署调试热部署失效的三大原因与解决方案将WAR包部署到Tomcat后修改JSP页面不生效常见原因原因检查点解决方案JSP编译缓存work/Catalina/localhost/yourapp/org/apache/jsp/下.class文件未更新删除work目录重启TomcatIDE自动部署冲突Eclipse/IntelliJ的Deploy on build与Tomcat Manager重复部署关闭IDE自动部署手动拷贝WAR到webappsJVM参数限制JAVA_OPTS-XX:MaxMetaspaceSize256m过小导致类加载失败增大Metaspace-XX:MaxMetaspaceSize512m验证部署成功访问http://localhost:8080/yourapp/index查看Tomcat日志中INFO [localhost-startStop-1] org.apache.catalina.startup.HostConfig.deployWAR Deploying web application archive是否出现。技巧在pom.xml中配置maven-war-plugin排除测试资源避免打包污染plugin groupIdorg.apache.maven.plugins/groupId artifactIdmaven-war-plugin/artifactId version3.3.2/version configuration packagingExcludesWEB-INF/classes/test/**/packagingExcludes /configuration /plugin本文还有配套的精品资源点击获取 SSM二手车平台：Java Web基础链路实战指南
简介本资源是一套完整的毕业设计项目——基于SSM框架的二手车交易平台面向Java初学者与高校计算机专业本科生聚焦Web应用开发实战解决课程设计、毕设选题与Spring生态项目落地等实际需求。压缩包为ZIP格式大小21.7MB内含完整可运行代码及配套MySQL数据库脚本涵盖Controller、Service、Mapper层逻辑、JSP前端页面、配置文件与SQL建表语句等核心模块结构清晰便于理解MVC分层设计与前后端交互流程。已有488人学习下载适合用于快速搭建本地开发环境、调试权限管理功能、分析典型电商类业务如车辆发布、搜索、用户收藏、订单流程的SSM实现方案。读者可直接导入IDEA/Eclipse运行结合Tomcat部署调试深入掌握SpringSpringMVCMyBatis整合要点、JSP动态页面开发及常见安全漏洞检测思路。1. 为什么一个基于SSM的二手车交易平台至今仍是Java Web初学者绕不开的“练手标尺”你可能已经看过几十个“SpringBootVue”的二手车项目但真正能让你看清MVC分层边界、理解请求如何从JSP页面穿透到MyBatis映射器、搞懂Filter与Interceptor执行顺序的往往还是这个用Tomcat原生部署、JSP混编HTML、XML配置满天飞的SSM老项目。它不炫技不追求高并发但每一行代码都在暴露Java Web基础链路的真实断点比如web.xml里load-on-startup1/load-on-startup的加载时机、spring-mvc.xml中mvc:annotation-driven /背后触发的RequestMappingHandlerMapping注册逻辑、甚至sqlMapConfig.xml里typeAlias与mapper路径拼接失败时抛出的Invalid bound statement (not found)异常——这些不是面试八股文里的抽象描述而是你在调试登录跳转404或商品列表查不到数据时必须亲手翻日志、改配置、重部署才能解决的具体问题。它适合两类人刚学完Servlet生命周期、正卡在“为什么Controller返回ModelAndView却渲染不出JSP”的大三学生以及想带新人快速建立Web请求全链路感知、避免一上来就陷入SpringBoot自动配置黑盒的团队技术负责人。2. SSM三层架构落地从Spring容器初始化到MyBatis动态SQL执行的完整链路2.1 Spring IoC容器启动ContextLoaderListener如何接管Tomcat生命周期SSM项目启动的第一道关卡是web.xml中ContextLoaderListener的注册。它并非Spring MVC专属而是整个Spring根容器的入口!-- web.xml -- listener listener-classorg.springframework.web.context.ContextLoaderListener/listener-class /listener context-param param-namecontextConfigLocation/param-name param-valueclasspath:spring-context.xml/param-value /context-param注意contextConfigLocation指定的是Spring根容器Service/DAO层配置文件而非SpringMVC的配置。若此处路径错误或文件缺失Tomcat启动时会抛出java.lang.NoClassDefFoundError: org/springframework/web/context/ContextLoaderListener——这不是类路径问题而是spring-web.jar未正确引入导致的ClassNotFoundException需检查WEB-INF/lib下是否包含该jar。ContextLoaderListener在ServletContext初始化时调用initWebApplicationContext()加载spring-context.xml并创建XmlWebApplicationContext。此时所有Service、Repository标注的Bean被实例化、依赖注入完成但Controller不会在此阶段加载——它们由SpringMVC子容器管理。这种父子容器分离设计直接决定了事务注解Transactional只能作用于Service层方法因为事务管理器tx:annotation-driven /配置在根容器中而Controller所在的子容器无法访问父容器的AOP代理。2.1.1 验证容器层级通过日志定位Bean归属启动Tomcat后在控制台搜索Root WebApplicationContext和FrameworkServlet关键字Root WebApplicationContext: initialization completed in XXX ms→ 根容器加载完成Initializing Servlet springmvc→ SpringMVC子容器启动若看到No qualifying bean of type [com.xxx.service.UserService]错误说明Service Bean未被根容器扫描到需检查spring-context.xml中context:component-scan base-packagecom.xxx.service /的包路径是否精确匹配实际目录结构注意斜杠方向与IDE包名显示一致。2.2 SpringMVC DispatcherServlet请求路由与视图解析的双引擎web.xml中DispatcherServlet的配置决定了HTTP请求如何进入MVC流程servlet servlet-namespringmvc/servlet-name servlet-classorg.springframework.web.servlet.DispatcherServlet/servlet-class init-param param-namecontextConfigLocation/param-name param-valueclasspath:spring-mvc.xml/param-value /init-param load-on-startup1/load-on-startup /servlet servlet-mapping servlet-namespringmvc/servlet-name url-pattern//url-pattern /servlet-mapping关键参数url-pattern//url-pattern表示拦截所有请求除静态资源外这要求spring-mvc.xml必须显式配置静态资源放行否则CSS/JS无法加载!-- spring-mvc.xml -- mvc:default-servlet-handler / !-- 或更精确的放行 -- mvc:resources mapping/static/** location/static/ /DispatcherServlet初始化时会加载spring-mvc.xml创建RequestMappingHandlerMapping处理RequestMapping、RequestMappingHandlerAdapter执行Controller方法、InternalResourceViewResolver解析JSP路径。以二手车首页为例其Controller方法签名如下Controller public class CarController { RequestMapping(value /index, method RequestMethod.GET) public String index(Model model) { ListCar cars carService.findAll(); // 调用Service层 model.addAttribute(carList, cars); return index; // 返回逻辑视图名 } }return index经InternalResourceViewResolver解析为/WEB-INF/jsp/index.jsp此路径必须与实际JSP文件位置严格一致。若返回redirect:/login则触发302重定向此时model数据丢失——这是SSM项目中常见的跳转数据传递陷阱解决方案是使用RedirectAttributespublic String loginSubmit(RedirectAttributes redirectAttrs) { redirectAttrs.addFlashAttribute(msg, 用户名或密码错误); return redirect:/login; }提示addFlashAttribute将数据存入HttpSession临时属性在重定向后的下一个请求中自动清除避免手动操作Session。2.3 MyBatis核心执行从XML映射到数据库结果集的逐层穿透MyBatis在SSM中承担DAO层职责其配置分散在mybatis-config.xml和Mapper XML文件中。spring-context.xml中SqlSessionFactoryBean的配置是关键枢纽bean idsqlSessionFactory classorg.mybatis.spring.SqlSessionFactoryBean property namedataSource refdataSource / property nameconfigLocation valueclasspath:mybatis-config.xml / property namemapperLocations valueclasspath:mapper/*.xml / /beanmapperLocations指定了所有Mapper XML文件路径若路径错误如写成classpath:mapper/**/*.xml但实际文件在src/main/resources/mapper/CarMapper.xml启动时会静默失败——SqlSessionFactory创建成功但Mapper接口无对应SQL调用时抛出Invalid bound statement异常。以查询二手车列表为例CarMapper.xml中的动态SQL体现SSM对复杂条件的支持select idfindCarsByCondition resultTypeCar SELECT * FROM car WHERE 11 if testbrand ! null and brand ! AND brand LIKE CONCAT(%, #{brand}, %) /if if testminPrice ! null AND price #{minPrice} /if if testmaxPrice ! null AND price #{maxPrice} /if ORDER BY create_time DESC /selectif标签的判断逻辑在MyBatis运行时解析#{}实现预编译防SQL注入CONCAT函数兼容MySQL。若切换为Oracle需改为% || #{brand} || %。此处resultTypeCar指向实体类全限定名若未配置typeAliases必须写com.xxx.entity.Car否则报Could not resolve type alias。2.3.1 数据库连接池验证Druid监控页面暴露真实瓶颈本项目通常使用Druid作为数据源其监控页面http://localhost:8080/druid是排查性能问题的第一现场。需在spring-context.xml中添加Druid监控Servletservlet servlet-nameDruidStatView/servlet-name servlet-classcom.alibaba.druid.support.http.StatViewServlet/servlet-class /servlet servlet-mapping servlet-nameDruidStatView/servlet-name url-pattern/druid/*/url-pattern /servlet-mapping访问监控页可查看SQL监控识别慢查询如未加索引的LIKE %关键词%数据源确认活跃连接数是否接近maxActive默认8若长期满载需调大参数WallFilter开启防火墙后拦截恶意SQL如UNION SELECT注入3. JSP页面渲染与交互从EL表达式到AJAX异步提交的实战细节3.1 JSP基础渲染EL表达式、JSTL标签与表单绑定的协同SSM项目中JSP不仅是模板更是MVC中View层的执行环境。index.jsp展示二手车列表时需正确解析Controller传入的carList% page contentTypetext/html;charsetUTF-8 languagejava % % taglib prefixc urihttp://java.sun.com/jsp/jstl/core % html headtitle二手车首页/title/head body c:forEach items${carList} varcar div classcar-item h3${car.brand} ${car.model}/h3 p价格fmt:formatNumber value${car.price} pattern¥#,##0.00//p a hrefcar/detail?id${car.id}查看详情/a /div /c:forEach /body /html关键点解析% taglib prefixc urihttp://java.sun.com/jsp/jstl/core %声明JSTL核心标签库需确保jstl.jar和standard.jar在WEB-INF/lib中${car.brand}EL表达式访问对象属性等价于car.getBrand()若属性不存在则返回空字符串而非报错fmt:formatNumber格式化数字需引入% taglib prefixfmt urihttp://java.sun.com/jsp/jstl/fmt %避免价格显示为120000.0注意JSP中${car.price}直接输出未转义的HTML内容若price字段含script标签会导致XSS。生产环境必须使用c:out value${car.price} /进行HTML转义。3.2 表单提交与数据绑定form:form标签与后端接收的精准匹配用户发布二手车信息时JSP表单需与后端Car实体类严格对应% taglib prefixform urihttp://www.springframework.org/tags/form % form:form action/car/add methodpost modelAttributecar form:input pathbrand placeholder品牌/ form:input pathmodel placeholder车型/ form:input pathprice typenumber step0.1/ form:textarea pathdescription rows3/ input typesubmit value发布/ /form:formmodelAttributecar绑定Controller中ModelAttribute(car) Car car参数path属性对应实体类字段名。若Car类中price为BigDecimal类型而表单提交字符串15.5SpringMVC会自动调用BigDecimal(String)构造器转换——但若输入abc则抛出TypeMismatchException需在Controller中捕获并返回错误页RequestMapping(value /car/add, method RequestMethod.POST) public String addCar(Valid ModelAttribute(car) Car car, BindingResult result, Model model) { if (result.hasErrors()) { model.addAttribute(errors, result.getAllErrors()); return car/add; // 返回原表单页 } carService.save(car); return redirect:/index; }Valid触发JSR-303校验BindingResult必须紧跟校验对象参数否则校验失效。3.3 AJAX异步交互jQuery与JSON数据的双向序列化二手车详情页常需异步加载关联信息如卖家信用评分此时需脱离JSP整页刷新// detail.jsp $.ajax({ url: /api/seller/rating, type: GET, data: {sellerId: ${car.sellerId}}, dataType: json, success: function(data) { $(#rating).text(信用分 data.score); } });后端Controller返回JSON需配置消息转换器!-- spring-mvc.xml -- mvc:annotation-driven mvc:message-converters register-defaultstrue bean classorg.springframework.http.converter.json.MappingJackson2HttpMessageConverter property namesupportedMediaTypes list valueapplication/json;charsetUTF-8/value /list /property /bean /mvc:message-converters /mvc:annotation-driven对应Controller方法RestController RequestMapping(/api/seller) public class SellerApiController { GetMapping(/rating) public MapString, Object getRating(RequestParam Long sellerId) { Seller seller sellerService.findById(sellerId); MapString, Object result new HashMap(); result.put(score, seller.getCreditScore()); result.put(level, seller.getCreditLevel()); return result; } }RestController替代ControllerResponseBody自动序列化Map为JSON。若返回中文乱码需在MappingJackson2HttpMessageConverter中设置charsetUTF-8或全局配置mvc:annotation-driven /的content-negotiation。4. 权限控制与安全加固Shiro集成与常见漏洞修复实践4.1 Shiro权限模型从INI配置到URL拦截的细粒度控制SSM项目常集成Apache Shiro实现权限管理。shiro.ini配置定义了认证与授权规则[main] authc org.apache.shiro.web.filter.authc.FormAuthenticationFilter authc.loginUrl /login authc.usernameParam username authc.passwordParam password [urls] /login anon /logout logout /user/** authc, roles[user] /admin/** authc, roles[admin] /** authc[urls]节中/user/** authc, roles[user]表示访问/user/下所有路径需先认证且用户角色必须包含user。若用户仅有guest角色访问/user/profile将被重定向至/login。Shiro Filter在web.xml中声明filter filter-nameshiroFilter/filter-name filter-classorg.springframework.web.filter.DelegatingFilterProxy/filter-class init-param param-nametargetFilterLifecycle/param-name param-valuetrue/param-value /init-param /filter filter-mapping filter-nameshiroFilter/filter-name url-pattern/*/url-pattern /filter-mappingDelegatingFilterProxy将过滤委托给Spring容器中的ShiroFilterFactoryBean因此shiroFilterBean必须在Spring配置中定义bean idshiroFilter classorg.apache.shiro.spring.web.ShiroFilterFactoryBean property namesecurityManager refsecurityManager/ property nameloginUrl value/login/ property namesuccessUrl value/index/ property nameunauthorizedUrl value/403/ property namefilterChainDefinitionMap refchainDefinitionMap/ /bean4.2 常见安全漏洞修复SQL注入、XSS与CSRF的三重防御4.2.1 SQL注入防护MyBatis参数化查询的强制约束本项目中所有数据库操作必须使用#{}而非${}。例如模糊查询!-- 安全预编译参数 -- WHERE title LIKE CONCAT(%, #{keyword}, %) !-- 危险字符串拼接易被注入 -- WHERE title LIKE %${keyword}%若业务必须动态表名如分表需白名单校验public ListCar findCarsByTable(String tableName) { // 白名单校验 if (!Arrays.asList(car_2023, car_2024).contains(tableName)) { throw new IllegalArgumentException(非法表名); } return carMapper.findCarsByDynamicTable(tableName); }4.2.2 XSS攻击拦截JSP输出转义与HTTP头设置在web.xml中启用HTTP响应头防御filter filter-namehttpHeaderSecurity/filter-name filter-classorg.apache.catalina.filters.HttpHeaderSecurityFilter/filter-class init-param param-nameantiClickJackingOption/param-name param-valueDENY/param-value /init-param /filter filter-mapping filter-namehttpHeaderSecurity/filter-name url-pattern/*/url-pattern /filter-mapping同时JSP中所有用户输入内容必须用c:out输出!-- 安全 -- c:out value${userInput} / !-- 危险 -- ${userInput}4.2.3 CSRF防护表单令牌与AJAX请求头同步Shiro默认开启CSRF保护需在表单中添加隐藏域form action/car/add methodpost input typehidden name${_csrf.parameterName} value${_csrf.token}/ !-- 其他字段 -- /formAJAX请求需从Meta标签读取Tokenmeta name_csrf content${_csrf.token}/ meta name_csrf_header content${_csrf.headerName}/var token $(meta[name_csrf]).attr(content); var header $(meta[name_csrf_header]).attr(content); $.ajaxSetup({ beforeSend: function(xhr) { xhr.setRequestHeader(header, token); } });5. 系统测试与部署Tomcat热部署调试与数据库脚本执行要点5.1 单元测试覆盖JUnitMockito验证Service层逻辑针对二手车交易核心逻辑如价格区间筛选编写Service层测试RunWith(MockitoJUnitRunner.class) public class CarServiceTest { InjectMocks private CarServiceImpl carService; Mock private CarMapper carMapper; Test public void should_find_cars_by_price_range() { // 给定 CarQuery query new CarQuery(); query.setMinPrice(new BigDecimal(50000)); query.setMaxPrice(new BigDecimal(150000)); ListCar mockCars Arrays.asList( new Car().setPrice(new BigDecimal(80000)), new Car().setPrice(new BigDecimal(120000)) ); Mockito.when(carMapper.findCarsByCondition(query)).thenReturn(mockCars); // 当 ListCar result carService.findCarsByCondition(query); // 那么 assertThat(result).hasSize(2); assertThat(result.get(0).getPrice()).isEqualTo(new BigDecimal(80000)); } }提示InjectMocks自动注入Mock对象避免手动new CarServiceImpl()导致依赖未初始化。测试前需确保pom.xml中junit和mockito-core版本兼容推荐JUnit 4.12 Mockito 2.23.4。5.2 数据库初始化SQL脚本执行顺序与字符集陷阱项目附带的database.sql需按顺序执行创建数据库CREATE DATABASE IF NOT EXISTS used_car DEFAULT CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;执行建表语句USE used_car; CREATE TABLE car (...);插入初始数据INSERT INTO user (username, password) VALUES (admin, e10adc3949ba59abbe56e057f20f883e);关键陷阱字符集utf8mb4支持emoji若用utf8MySQL中实际为utf8mb3插入表情会变?密码加密示例中e10adc3949ba59abbe56e057f20f883e是123456的MD5但生产环境应使用BCryptPasswordEncoder加密外键约束若先导入car表再导入user表因car.seller_id外键引用user.id会报Cannot add or update a child row错误5.3 Tomcat部署调试热部署失效的三大原因与解决方案将WAR包部署到Tomcat后修改JSP页面不生效常见原因原因检查点解决方案JSP编译缓存work/Catalina/localhost/yourapp/org/apache/jsp/下.class文件未更新删除work目录重启TomcatIDE自动部署冲突Eclipse/IntelliJ的Deploy on build与Tomcat Manager重复部署关闭IDE自动部署手动拷贝WAR到webappsJVM参数限制JAVA_OPTS-XX:MaxMetaspaceSize256m过小导致类加载失败增大Metaspace-XX:MaxMetaspaceSize512m验证部署成功访问http://localhost:8080/yourapp/index查看Tomcat日志中INFO [localhost-startStop-1] org.apache.catalina.startup.HostConfig.deployWAR Deploying web application archive是否出现。技巧在pom.xml中配置maven-war-plugin排除测试资源避免打包污染plugin groupIdorg.apache.maven.plugins/groupId artifactIdmaven-war-plugin/artifactId version3.3.2/version configuration packagingExcludesWEB-INF/classes/test/**/packagingExcludes /configuration /plugin本文还有配套的精品资源点击获取