简介这是一份面向计算机相关专业毕业设计的在线考试系统后端源码采用Python作为主要开发语言适合正在准备毕设或希望系统学习Web后端开发的学生参考。项目围绕在线考试场景涵盖用户认证、试题管理、考试记录、数据库设计等核心模块可帮助读者理解从模型定义到路由分发的完整后端架构。压缩包共2000个文件以1317个Python源码为主体辅以364个HTML模板、223个JavaScript脚本和49个CSS样式文件另有少量配置与说明文档整体约24.74MB目录结构清晰便于按模块检索。已有138人学习下载。通过研读这套代码读者可以掌握Flask或Django框架下的视图与控制器组织方式、数据库表结构设计、身份验证与授权机制以及前后端交互的基本流程是完成毕设或提升全栈实践能力的实用参考。1. 基于 Python 的在线考试系统后端从一份毕设压缩包到能跑起来的服务毕业设计选题里「基于 Python 的在线考试系统后端」几乎是每年都会被翻牌子的那一类。原因很实在业务闭环清晰老师出题、学生答题、系统判分技术栈门槛不高Python 一个 Web 框架 一个数据库但真要把它做成一个能演示、能答辩、甚至能写进简历的项目光靠一份压缩包里的代码是远远不够的。我见过太多同学拿到在线考试系统后端.zip之后解压、装依赖、python app.py然后卡在数据库连不上、跨域报错、上传接口 500 上最后只能对着源码干瞪眼。这篇笔记不假设你手里那份压缩包长什么样而是把「Python 在线考试系统后端」这个方向拆开讲它到底由哪些模块组成、每个模块的接口该怎么设计、参数怎么定、部署时哪些坑一定会踩。适合两类人——正在做毕设、需要一份能跑通的后端骨架的同学以及想拿这个项目练手、补齐后端工程能力的转行者。读完你应该能自己从零搭出一套可用的后端而不是只会改别人代码里的变量名。2. 在线考试系统后端的模块划分与接口设计2.1 为什么先定模块边界再写第一行代码很多人拿到毕设题目第一反应是打开编辑器写main.py写到一半发现用户、试卷、题目、成绩全搅在一起改一个字段要动五个文件。在线考试系统后端的业务对象其实很固定用户老师/学生、题库、试卷、考试记录、答题明细、成绩。这六个对象之间的生命周期是老师建题库 → 组卷 → 发布考试 → 学生作答 → 系统判分 → 生成成绩。模块划分就按这条链路切每个模块只暴露自己的接口不越界访问别人的表。我一般会分成四层api层负责路由和参数校验service层写业务逻辑model层定义 ORM 映射utils层放判分、鉴权、分页这些公共能力。目录结构大致是这样exam_backend/ ├── app.py # 入口注册蓝图 ├── config.py # 数据库、密钥、上传目录配置 ├── api/ │ ├── auth.py # 登录、注册、token 校验 │ ├── question.py # 题库增删改查 │ ├── paper.py # 组卷、发布 │ └── exam.py # 答题、交卷、判分 ├── service/ │ ├── paper_service.py │ └── exam_service.py ├── model/ │ └── models.py └── utils/ ├── auth.py └── grader.py这样切的好处是答辩时老师问「判分逻辑在哪」你能直接指到utils/grader.py而不是在一千行的app.py里翻。选型上Web 框架用 Flask 还是 FastAPI 都行Flask 生态老、教程多适合毕设FastAPI 自带 OpenAPI 文档和异步适合想顺便学点新东西的人。数据库用 MySQL 或 PostgreSQL别用 SQLite 做正式演示——并发一上来就锁表答辩现场翻车概率不低。2.2 核心接口的请求参数与返回结构接口设计最容易出问题的是「参数命名不统一」和「返回结构五花八门」。我习惯统一成{code, msg, data}三段式code0表示成功非 0 表示业务错误。下面这张表是我做在线考试系统后端时固定下来的核心接口清单参数名和类型可以直接抄接口方法关键参数说明/api/auth/loginPOSTusername,password返回 token后续请求放 Header/api/question/listGETpage,size,type分页查题type区分单选/多选/判断/api/paper/createPOSTtitle,question_ids,duration组卷duration单位分钟/api/paper/publishPOSTpaper_id,start_time,end_time发布考试时间用 ISO8601/api/exam/startPOSTpaper_id返回试卷内容同时写一条考试记录/api/exam/submitPOSTrecord_id,answersanswers是{question_id: answer}字典/api/exam/scoreGETrecord_id查成绩含每道题对错明细参数校验这块Flask 里可以用pydantic或marshmallowFastAPI 直接用pydantic模型。别小看这一步我见过因为duration传了字符串导致timedelta报错的也见过answers传成数组而不是字典、判分直接崩的。校验层拦住这些service 层就能安心写逻辑。2.3 判分逻辑别把简单题做成玄学判分是在线考试系统后端里最容易被低估的部分。单选题、判断题好办字符串比对就行多选题才是坑——学生答案顺序不同、多选漏选、错选规则都不一样。常见做法是多选题全对得满分漏选得一半分错选不得分。这个规则要写死在grader.py里并且单元测试覆盖到。# utils/grader.py def grade_multi_choice(correct: list, student: list) - float: 多选题判分全对 1.0漏选 0.5错选 0 correct_set set(correct) student_set set(student) if student_set correct_set: return 1.0 if student_set.issubset(correct_set) and student_set: return 0.5 return 0.0这段逻辑说明correct和student都转成set再比避免顺序干扰issubset判断漏选空集单独排除防止学生没选也算漏选。参数上correct从题库表里读student从提交的answers里取两边都必须是列表前端传字符串的话在 api 层就转掉。判分结果写回exam_record表同时把每道题的对错存进answer_detail方便后面查明细。3. 用 Flask 把后端骨架跑起来环境、依赖与最小可运行服务3.1 Python 环境与依赖安装的稳妥路径毕设环境最怕的就是「在我电脑上能跑」。Python 版本建议 3.9 到 3.11太新的版本有些库还没跟上太老的又缺特性。装依赖别直接pip install flask一把梭用requirements.txt锁版本答辩换机器时一条命令搞定# 创建虚拟环境避免污染全局 python -m venv venv source venv/bin/activate # Windows 用 venv\Scripts\activate # 安装依赖版本按你实际测过的写 pip install flask2.3.3 pip install flask-sqlalchemy3.0.5 pip install flask-cors4.0.0 pip install pymysql1.1.0 pip install pyjwt2.8.0 # 导出锁定版本 pip freeze requirements.txt逻辑说明虚拟环境隔离是底线别嫌麻烦flask-sqlalchemy管 ORMflask-cors解决前后端分离的跨域pymysql是 MySQL 驱动pyjwt做 token。参数上版本号不是随便写的flask-cors4.x 和 3.x 的配置方式有差异锁住能省掉一堆「为什么跨域配置不生效」的排查时间。如果学校机器装不了 MySQL退而求其次用 SQLite 演示但要在答辩时说明生产环境会换。3.2 最小可运行服务入口、配置与数据库连接骨架跑起来的标准是python app.py之后访问/api/health返回{code:0,msg:ok}并且能连上数据库。先写配置和入口# config.py import os class Config: SECRET_KEY os.environ.get(SECRET_KEY, dev-secret-change-me) SQLALCHEMY_DATABASE_URI os.environ.get( DATABASE_URL, mysqlpymysql://root:password127.0.0.1:3306/exam_db?charsetutf8mb4 ) SQLALCHEMY_TRACK_MODIFICATIONS False UPLOAD_FOLDER os.path.join(os.path.dirname(__file__), uploads) MAX_CONTENT_LENGTH 16 * 1024 * 1024 # 单文件最大 16MB# app.py from flask import Flask, jsonify from flask_cors import CORS from config import Config from model.models import db def create_app(): app Flask(__name__) app.config.from_object(Config) CORS(app, resources{r/api/*: {origins: *}}) db.init_app(app) with app.app_context(): db.create_all() app.route(/api/health) def health(): return jsonify({code: 0, msg: ok}) return app if __name__ __main__: create_app().run(host0.0.0.0, port5000, debugTrue)逻辑说明create_app工厂模式方便测试和多环境配置CORS只对/api/*放开别全局放开db.create_all()在开发阶段自动建表生产环境要换成迁移工具。参数上DATABASE_URL用环境变量注入别把密码写死在代码里提交到仓库——这是毕设查重和代码规范都会扣分的地方。MAX_CONTENT_LENGTH限制上传大小防止有人传个大文件把服务打挂。3.3 数据库表结构六张表撑起整个系统表结构设计直接决定后面写 SQL 顺不顺。我一般用六张表user、question、paper、paper_question、exam_record、answer_detail。其中paper_question是试卷和题目的关联表存题号顺序和分值answer_detail存每道题的学生答案和得分。关键字段和类型如下表名关键字段类型说明userid, username, password_hash, roleint, varchar, varchar, tinyintrole: 0 学生 1 老师questionid, type, content, options, answerint, tinyint, text, json, varcharoptions 存 JSONpaperid, title, duration, total_scoreint, varchar, int, intduration 分钟paper_questionpaper_id, question_id, score, sortint, int, int, int联合主键exam_recordid, user_id, paper_id, start_time, submit_time, scoreint, int, int, datetime, datetime, int成绩可空answer_detailid, record_id, question_id, student_answer, is_correct, scoreint, int, int, varchar, tinyint, int判分明细注意options字段用 JSON 类型MySQL 5.7 以上支持存[{key:A,value:选项内容}]这种结构前端渲染方便。answer字段存正确答案多选题存A,B这种逗号分隔字符串判分时 split 成列表。别用中文逗号这是血泪经验——前端传过来的可能是中文逗号后端要统一替换。4. 前后端分离下的联调与部署跨域、鉴权与上传4.1 跨域配置为什么总是「配了没用」前后端分离项目实战里跨域是第一个拦路虎。现象是浏览器控制台报Access-Control-Allow-Origin缺失但你明明在 Flask 里加了CORS(app)。原因通常有三个一是CORS注册在蓝图之后没生效二是请求带了自定义 Header比如Authorization触发了预检请求OPTIONS而你没处理三是 Nginx 层又加了一层跨域头和 Flask 的重复了。解决方式Flask 侧用CORS(app, resources{...}, supports_credentialsTrue)并且确保OPTIONS请求能走到 FlaskNginx 侧如果做了反向代理要么让 Flask 管跨域要么让 Nginx 管别两边都管。我一般让 Flask 管Nginx 只做转发和静态资源。另外vue3 怎么连接后端这个问题本质就是前端axios的baseURL指向后端地址开发时用vite的proxy代理生产时用 Nginx 转发别在前端代码里写死 IP。4.2 JWT 鉴权token 怎么发、怎么验、怎么续鉴权用 JWT 是常见做法。登录成功后后端用pyjwt签发 tokenpayload 里放user_id和role过期时间设 2 小时。前端每次请求把 token 放Authorization: Bearer token。后端写一个装饰器统一校验# utils/auth.py import jwt from functools import wraps from flask import request, jsonify, current_app def login_required(roleNone): def decorator(f): wraps(f) def wrapper(*args, **kwargs): auth request.headers.get(Authorization, ) if not auth.startswith(Bearer ): return jsonify({code: 401, msg: 缺少 token}), 401 token auth[7:] try: payload jwt.decode(token, current_app.config[SECRET_KEY], algorithms[HS256]) except jwt.ExpiredSignatureError: return jsonify({code: 401, msg: token 已过期}), 401 except jwt.InvalidTokenError: return jsonify({code: 401, msg: token 无效}), 401 if role is not None and payload.get(role) ! role: return jsonify({code: 403, msg: 无权限}), 403 request.user payload return f(*args, **kwargs) return wrapper return decorator逻辑说明login_required是个带参数的装饰器role用来区分老师和学生接口jwt.decode会校验签名和过期时间异常分开捕获方便前端区分处理。参数上SECRET_KEY必须从配置读别硬编码algorithms指定HS256防止算法混淆攻击。token 续期我一般不做自动续过期就让前端跳登录简单可靠。4.3 文件上传后缀限制与服务器配置的配合在线考试系统里上传场景不多主要是老师上传题目图片或批量导入题库的 Excel。热搜里提到的「因为后端正则限制了很多后缀所以脚本文件上传不了」是个典型问题——后端白名单只允许jpg,png,xlsx但服务器是 Apache2.htaccess又拦了一层导致正常文件也传不上去。排查思路先看后端日志有没有进到上传函数再看 Nginx/Apache 的client_max_body_size和LimitRequestBody配置。# api/upload.py import os from werkzeug.utils import secure_filename from flask import request, jsonify, current_app ALLOWED_EXT {jpg, jpeg, png, xlsx} def allowed_file(filename): return . in filename and filename.rsplit(., 1)[1].lower() in ALLOWED_EXT login_required(role1) def upload_file(): f request.files.get(file) if not f or not allowed_file(f.filename): return jsonify({code: 400, msg: 文件类型不允许}), 400 filename secure_filename(f.filename) save_path os.path.join(current_app.config[UPLOAD_FOLDER], filename) f.save(save_path) return jsonify({code: 0, data: {url: f/uploads/{filename}}})逻辑说明secure_filename去掉路径穿越字符白名单用集合判断别用正则去黑名单——黑名单永远列不全。参数上UPLOAD_FOLDER要确保存在且可写部署时用chmod设好权限。如果服务器是 Apache2检查httpd.conf里的LimitRequestBody默认可能是 0不限或很小按需调整。5. 避坑与排查在线考试系统后端最常见的 5 个翻车现场5.1 现象交卷接口偶发 500日志显示IntegrityError原因学生重复点击交卷或者前端重试机制导致同一record_id插入了两条answer_detail触发了唯一约束。解决在exam_record表上加状态字段status0 进行中 1 已交卷交卷前先SELECT ... FOR UPDATE锁行判断状态已交卷的直接返回上次成绩不重复判分。5.2 现象成绩查询返回的分数和预期对不上原因判分时用了浮点数累加0.10.2这种经典问题导致总分出现59.999999。解决分数统一用整数存比如每题 10 分漏选得 5 分别用0.5这种小数如果必须用小数用Decimal而不是float。5.3 现象老师删除题目后已发布的试卷里题目消失原因paper_question表的外键设了ON DELETE CASCADE删题连带删了关联。解决题库题目不做物理删除加is_deleted软删除字段查询时过滤或者外键设ON DELETE RESTRICT有引用时禁止删除并提示老师。5.4 现象考试开始时间到了学生还是进不去原因start_time存的是 UTC 时间前端展示和判断用的是本地时间差 8 小时。解决数据库统一存 UTC接口返回时转成 ISO8601 带时区前端用dayjs或date-fns本地化。别在数据库里存本地时间字符串跨时区必翻车。5.5 现象部署到服务器后上传的图片 404原因Flask 开发服务器能直接访问uploads目录但生产环境用 Nginx GunicornNginx 没配/uploads的静态映射。解决Nginx 里加location /uploads/ { alias /path/to/uploads/; }并确保 Gunicorn 进程对该目录有读权限。这个坑在后端部署时 nginx 需要什么信息这类问题里高频出现。6. 让判分更稳用单元测试锁住核心逻辑判分逻辑是整个在线考试系统后端里最不能出错的部分一旦判错学生成绩全乱。我一般用pytest给grader.py写单元测试覆盖单选、多选、判断、漏选、错选、空答这些边界。下面是一个可以直接跑的测试文件# tests/test_grader.py import pytest from utils.grader import grade_multi_choice, grade_single_choice def test_single_correct(): assert grade_single_choice(A, A) 1.0 def test_single_wrong(): assert grade_single_choice(A, B) 0.0 def test_multi_all_correct(): assert grade_multi_choice([A, B, C], [C, A, B]) 1.0 def test_multi_partial(): assert grade_multi_choice([A, B, C], [A, B]) 0.5 def test_multi_wrong(): assert grade_multi_choice([A, B, C], [A, D]) 0.0 def test_multi_empty(): assert grade_multi_choice([A, B], []) 0.0逻辑说明test_multi_all_correct故意打乱顺序验证set比对不受顺序影响test_multi_partial验证漏选得一半test_multi_empty验证空答不得分。参数上grade_multi_choice接收两个列表测试里用列表字面量实际调用时从数据库读出来也要保证是列表类型。跑pytest tests/ -v全绿了再部署比答辩前手动点一遍靠谱得多。进阶一点的做法是把判分规则做成可配置的在paper表里加score_rule字段存 JSON比如{multi_partial: 0.5, multi_wrong: 0}grader读这个配置来算分。这样不同考试可以用不同规则老师也能自己调。代价是判分函数要多传一个参数测试用例也要跟着加。值不值得做看你的答辩老师会不会追问「如果我想改判分规则怎么办」——会问的话加上这个能多讲五分钟。最后说个我自己的习惯每次改完判分逻辑先跑单元测试再用curl打一遍完整的「登录 → 开始考试 → 交卷 → 查成绩」链路确认接口返回的分数和预期一致。这个习惯帮我省掉了至少三次答辩现场的尴尬。希望帮到你。本文还有配套的精品资源点击获取 Python在线考试系统后端开发实战：从模块设计到部署避坑
简介这是一份面向计算机相关专业毕业设计的在线考试系统后端源码采用Python作为主要开发语言适合正在准备毕设或希望系统学习Web后端开发的学生参考。项目围绕在线考试场景涵盖用户认证、试题管理、考试记录、数据库设计等核心模块可帮助读者理解从模型定义到路由分发的完整后端架构。压缩包共2000个文件以1317个Python源码为主体辅以364个HTML模板、223个JavaScript脚本和49个CSS样式文件另有少量配置与说明文档整体约24.74MB目录结构清晰便于按模块检索。已有138人学习下载。通过研读这套代码读者可以掌握Flask或Django框架下的视图与控制器组织方式、数据库表结构设计、身份验证与授权机制以及前后端交互的基本流程是完成毕设或提升全栈实践能力的实用参考。1. 基于 Python 的在线考试系统后端从一份毕设压缩包到能跑起来的服务毕业设计选题里「基于 Python 的在线考试系统后端」几乎是每年都会被翻牌子的那一类。原因很实在业务闭环清晰老师出题、学生答题、系统判分技术栈门槛不高Python 一个 Web 框架 一个数据库但真要把它做成一个能演示、能答辩、甚至能写进简历的项目光靠一份压缩包里的代码是远远不够的。我见过太多同学拿到在线考试系统后端.zip之后解压、装依赖、python app.py然后卡在数据库连不上、跨域报错、上传接口 500 上最后只能对着源码干瞪眼。这篇笔记不假设你手里那份压缩包长什么样而是把「Python 在线考试系统后端」这个方向拆开讲它到底由哪些模块组成、每个模块的接口该怎么设计、参数怎么定、部署时哪些坑一定会踩。适合两类人——正在做毕设、需要一份能跑通的后端骨架的同学以及想拿这个项目练手、补齐后端工程能力的转行者。读完你应该能自己从零搭出一套可用的后端而不是只会改别人代码里的变量名。2. 在线考试系统后端的模块划分与接口设计2.1 为什么先定模块边界再写第一行代码很多人拿到毕设题目第一反应是打开编辑器写main.py写到一半发现用户、试卷、题目、成绩全搅在一起改一个字段要动五个文件。在线考试系统后端的业务对象其实很固定用户老师/学生、题库、试卷、考试记录、答题明细、成绩。这六个对象之间的生命周期是老师建题库 → 组卷 → 发布考试 → 学生作答 → 系统判分 → 生成成绩。模块划分就按这条链路切每个模块只暴露自己的接口不越界访问别人的表。我一般会分成四层api层负责路由和参数校验service层写业务逻辑model层定义 ORM 映射utils层放判分、鉴权、分页这些公共能力。目录结构大致是这样exam_backend/ ├── app.py # 入口注册蓝图 ├── config.py # 数据库、密钥、上传目录配置 ├── api/ │ ├── auth.py # 登录、注册、token 校验 │ ├── question.py # 题库增删改查 │ ├── paper.py # 组卷、发布 │ └── exam.py # 答题、交卷、判分 ├── service/ │ ├── paper_service.py │ └── exam_service.py ├── model/ │ └── models.py └── utils/ ├── auth.py └── grader.py这样切的好处是答辩时老师问「判分逻辑在哪」你能直接指到utils/grader.py而不是在一千行的app.py里翻。选型上Web 框架用 Flask 还是 FastAPI 都行Flask 生态老、教程多适合毕设FastAPI 自带 OpenAPI 文档和异步适合想顺便学点新东西的人。数据库用 MySQL 或 PostgreSQL别用 SQLite 做正式演示——并发一上来就锁表答辩现场翻车概率不低。2.2 核心接口的请求参数与返回结构接口设计最容易出问题的是「参数命名不统一」和「返回结构五花八门」。我习惯统一成{code, msg, data}三段式code0表示成功非 0 表示业务错误。下面这张表是我做在线考试系统后端时固定下来的核心接口清单参数名和类型可以直接抄接口方法关键参数说明/api/auth/loginPOSTusername,password返回 token后续请求放 Header/api/question/listGETpage,size,type分页查题type区分单选/多选/判断/api/paper/createPOSTtitle,question_ids,duration组卷duration单位分钟/api/paper/publishPOSTpaper_id,start_time,end_time发布考试时间用 ISO8601/api/exam/startPOSTpaper_id返回试卷内容同时写一条考试记录/api/exam/submitPOSTrecord_id,answersanswers是{question_id: answer}字典/api/exam/scoreGETrecord_id查成绩含每道题对错明细参数校验这块Flask 里可以用pydantic或marshmallowFastAPI 直接用pydantic模型。别小看这一步我见过因为duration传了字符串导致timedelta报错的也见过answers传成数组而不是字典、判分直接崩的。校验层拦住这些service 层就能安心写逻辑。2.3 判分逻辑别把简单题做成玄学判分是在线考试系统后端里最容易被低估的部分。单选题、判断题好办字符串比对就行多选题才是坑——学生答案顺序不同、多选漏选、错选规则都不一样。常见做法是多选题全对得满分漏选得一半分错选不得分。这个规则要写死在grader.py里并且单元测试覆盖到。# utils/grader.py def grade_multi_choice(correct: list, student: list) - float: 多选题判分全对 1.0漏选 0.5错选 0 correct_set set(correct) student_set set(student) if student_set correct_set: return 1.0 if student_set.issubset(correct_set) and student_set: return 0.5 return 0.0这段逻辑说明correct和student都转成set再比避免顺序干扰issubset判断漏选空集单独排除防止学生没选也算漏选。参数上correct从题库表里读student从提交的answers里取两边都必须是列表前端传字符串的话在 api 层就转掉。判分结果写回exam_record表同时把每道题的对错存进answer_detail方便后面查明细。3. 用 Flask 把后端骨架跑起来环境、依赖与最小可运行服务3.1 Python 环境与依赖安装的稳妥路径毕设环境最怕的就是「在我电脑上能跑」。Python 版本建议 3.9 到 3.11太新的版本有些库还没跟上太老的又缺特性。装依赖别直接pip install flask一把梭用requirements.txt锁版本答辩换机器时一条命令搞定# 创建虚拟环境避免污染全局 python -m venv venv source venv/bin/activate # Windows 用 venv\Scripts\activate # 安装依赖版本按你实际测过的写 pip install flask2.3.3 pip install flask-sqlalchemy3.0.5 pip install flask-cors4.0.0 pip install pymysql1.1.0 pip install pyjwt2.8.0 # 导出锁定版本 pip freeze requirements.txt逻辑说明虚拟环境隔离是底线别嫌麻烦flask-sqlalchemy管 ORMflask-cors解决前后端分离的跨域pymysql是 MySQL 驱动pyjwt做 token。参数上版本号不是随便写的flask-cors4.x 和 3.x 的配置方式有差异锁住能省掉一堆「为什么跨域配置不生效」的排查时间。如果学校机器装不了 MySQL退而求其次用 SQLite 演示但要在答辩时说明生产环境会换。3.2 最小可运行服务入口、配置与数据库连接骨架跑起来的标准是python app.py之后访问/api/health返回{code:0,msg:ok}并且能连上数据库。先写配置和入口# config.py import os class Config: SECRET_KEY os.environ.get(SECRET_KEY, dev-secret-change-me) SQLALCHEMY_DATABASE_URI os.environ.get( DATABASE_URL, mysqlpymysql://root:password127.0.0.1:3306/exam_db?charsetutf8mb4 ) SQLALCHEMY_TRACK_MODIFICATIONS False UPLOAD_FOLDER os.path.join(os.path.dirname(__file__), uploads) MAX_CONTENT_LENGTH 16 * 1024 * 1024 # 单文件最大 16MB# app.py from flask import Flask, jsonify from flask_cors import CORS from config import Config from model.models import db def create_app(): app Flask(__name__) app.config.from_object(Config) CORS(app, resources{r/api/*: {origins: *}}) db.init_app(app) with app.app_context(): db.create_all() app.route(/api/health) def health(): return jsonify({code: 0, msg: ok}) return app if __name__ __main__: create_app().run(host0.0.0.0, port5000, debugTrue)逻辑说明create_app工厂模式方便测试和多环境配置CORS只对/api/*放开别全局放开db.create_all()在开发阶段自动建表生产环境要换成迁移工具。参数上DATABASE_URL用环境变量注入别把密码写死在代码里提交到仓库——这是毕设查重和代码规范都会扣分的地方。MAX_CONTENT_LENGTH限制上传大小防止有人传个大文件把服务打挂。3.3 数据库表结构六张表撑起整个系统表结构设计直接决定后面写 SQL 顺不顺。我一般用六张表user、question、paper、paper_question、exam_record、answer_detail。其中paper_question是试卷和题目的关联表存题号顺序和分值answer_detail存每道题的学生答案和得分。关键字段和类型如下表名关键字段类型说明userid, username, password_hash, roleint, varchar, varchar, tinyintrole: 0 学生 1 老师questionid, type, content, options, answerint, tinyint, text, json, varcharoptions 存 JSONpaperid, title, duration, total_scoreint, varchar, int, intduration 分钟paper_questionpaper_id, question_id, score, sortint, int, int, int联合主键exam_recordid, user_id, paper_id, start_time, submit_time, scoreint, int, int, datetime, datetime, int成绩可空answer_detailid, record_id, question_id, student_answer, is_correct, scoreint, int, int, varchar, tinyint, int判分明细注意options字段用 JSON 类型MySQL 5.7 以上支持存[{key:A,value:选项内容}]这种结构前端渲染方便。answer字段存正确答案多选题存A,B这种逗号分隔字符串判分时 split 成列表。别用中文逗号这是血泪经验——前端传过来的可能是中文逗号后端要统一替换。4. 前后端分离下的联调与部署跨域、鉴权与上传4.1 跨域配置为什么总是「配了没用」前后端分离项目实战里跨域是第一个拦路虎。现象是浏览器控制台报Access-Control-Allow-Origin缺失但你明明在 Flask 里加了CORS(app)。原因通常有三个一是CORS注册在蓝图之后没生效二是请求带了自定义 Header比如Authorization触发了预检请求OPTIONS而你没处理三是 Nginx 层又加了一层跨域头和 Flask 的重复了。解决方式Flask 侧用CORS(app, resources{...}, supports_credentialsTrue)并且确保OPTIONS请求能走到 FlaskNginx 侧如果做了反向代理要么让 Flask 管跨域要么让 Nginx 管别两边都管。我一般让 Flask 管Nginx 只做转发和静态资源。另外vue3 怎么连接后端这个问题本质就是前端axios的baseURL指向后端地址开发时用vite的proxy代理生产时用 Nginx 转发别在前端代码里写死 IP。4.2 JWT 鉴权token 怎么发、怎么验、怎么续鉴权用 JWT 是常见做法。登录成功后后端用pyjwt签发 tokenpayload 里放user_id和role过期时间设 2 小时。前端每次请求把 token 放Authorization: Bearer token。后端写一个装饰器统一校验# utils/auth.py import jwt from functools import wraps from flask import request, jsonify, current_app def login_required(roleNone): def decorator(f): wraps(f) def wrapper(*args, **kwargs): auth request.headers.get(Authorization, ) if not auth.startswith(Bearer ): return jsonify({code: 401, msg: 缺少 token}), 401 token auth[7:] try: payload jwt.decode(token, current_app.config[SECRET_KEY], algorithms[HS256]) except jwt.ExpiredSignatureError: return jsonify({code: 401, msg: token 已过期}), 401 except jwt.InvalidTokenError: return jsonify({code: 401, msg: token 无效}), 401 if role is not None and payload.get(role) ! role: return jsonify({code: 403, msg: 无权限}), 403 request.user payload return f(*args, **kwargs) return wrapper return decorator逻辑说明login_required是个带参数的装饰器role用来区分老师和学生接口jwt.decode会校验签名和过期时间异常分开捕获方便前端区分处理。参数上SECRET_KEY必须从配置读别硬编码algorithms指定HS256防止算法混淆攻击。token 续期我一般不做自动续过期就让前端跳登录简单可靠。4.3 文件上传后缀限制与服务器配置的配合在线考试系统里上传场景不多主要是老师上传题目图片或批量导入题库的 Excel。热搜里提到的「因为后端正则限制了很多后缀所以脚本文件上传不了」是个典型问题——后端白名单只允许jpg,png,xlsx但服务器是 Apache2.htaccess又拦了一层导致正常文件也传不上去。排查思路先看后端日志有没有进到上传函数再看 Nginx/Apache 的client_max_body_size和LimitRequestBody配置。# api/upload.py import os from werkzeug.utils import secure_filename from flask import request, jsonify, current_app ALLOWED_EXT {jpg, jpeg, png, xlsx} def allowed_file(filename): return . in filename and filename.rsplit(., 1)[1].lower() in ALLOWED_EXT login_required(role1) def upload_file(): f request.files.get(file) if not f or not allowed_file(f.filename): return jsonify({code: 400, msg: 文件类型不允许}), 400 filename secure_filename(f.filename) save_path os.path.join(current_app.config[UPLOAD_FOLDER], filename) f.save(save_path) return jsonify({code: 0, data: {url: f/uploads/{filename}}})逻辑说明secure_filename去掉路径穿越字符白名单用集合判断别用正则去黑名单——黑名单永远列不全。参数上UPLOAD_FOLDER要确保存在且可写部署时用chmod设好权限。如果服务器是 Apache2检查httpd.conf里的LimitRequestBody默认可能是 0不限或很小按需调整。5. 避坑与排查在线考试系统后端最常见的 5 个翻车现场5.1 现象交卷接口偶发 500日志显示IntegrityError原因学生重复点击交卷或者前端重试机制导致同一record_id插入了两条answer_detail触发了唯一约束。解决在exam_record表上加状态字段status0 进行中 1 已交卷交卷前先SELECT ... FOR UPDATE锁行判断状态已交卷的直接返回上次成绩不重复判分。5.2 现象成绩查询返回的分数和预期对不上原因判分时用了浮点数累加0.10.2这种经典问题导致总分出现59.999999。解决分数统一用整数存比如每题 10 分漏选得 5 分别用0.5这种小数如果必须用小数用Decimal而不是float。5.3 现象老师删除题目后已发布的试卷里题目消失原因paper_question表的外键设了ON DELETE CASCADE删题连带删了关联。解决题库题目不做物理删除加is_deleted软删除字段查询时过滤或者外键设ON DELETE RESTRICT有引用时禁止删除并提示老师。5.4 现象考试开始时间到了学生还是进不去原因start_time存的是 UTC 时间前端展示和判断用的是本地时间差 8 小时。解决数据库统一存 UTC接口返回时转成 ISO8601 带时区前端用dayjs或date-fns本地化。别在数据库里存本地时间字符串跨时区必翻车。5.5 现象部署到服务器后上传的图片 404原因Flask 开发服务器能直接访问uploads目录但生产环境用 Nginx GunicornNginx 没配/uploads的静态映射。解决Nginx 里加location /uploads/ { alias /path/to/uploads/; }并确保 Gunicorn 进程对该目录有读权限。这个坑在后端部署时 nginx 需要什么信息这类问题里高频出现。6. 让判分更稳用单元测试锁住核心逻辑判分逻辑是整个在线考试系统后端里最不能出错的部分一旦判错学生成绩全乱。我一般用pytest给grader.py写单元测试覆盖单选、多选、判断、漏选、错选、空答这些边界。下面是一个可以直接跑的测试文件# tests/test_grader.py import pytest from utils.grader import grade_multi_choice, grade_single_choice def test_single_correct(): assert grade_single_choice(A, A) 1.0 def test_single_wrong(): assert grade_single_choice(A, B) 0.0 def test_multi_all_correct(): assert grade_multi_choice([A, B, C], [C, A, B]) 1.0 def test_multi_partial(): assert grade_multi_choice([A, B, C], [A, B]) 0.5 def test_multi_wrong(): assert grade_multi_choice([A, B, C], [A, D]) 0.0 def test_multi_empty(): assert grade_multi_choice([A, B], []) 0.0逻辑说明test_multi_all_correct故意打乱顺序验证set比对不受顺序影响test_multi_partial验证漏选得一半test_multi_empty验证空答不得分。参数上grade_multi_choice接收两个列表测试里用列表字面量实际调用时从数据库读出来也要保证是列表类型。跑pytest tests/ -v全绿了再部署比答辩前手动点一遍靠谱得多。进阶一点的做法是把判分规则做成可配置的在paper表里加score_rule字段存 JSON比如{multi_partial: 0.5, multi_wrong: 0}grader读这个配置来算分。这样不同考试可以用不同规则老师也能自己调。代价是判分函数要多传一个参数测试用例也要跟着加。值不值得做看你的答辩老师会不会追问「如果我想改判分规则怎么办」——会问的话加上这个能多讲五分钟。最后说个我自己的习惯每次改完判分逻辑先跑单元测试再用curl打一遍完整的「登录 → 开始考试 → 交卷 → 查成绩」链路确认接口返回的分数和预期一致。这个习惯帮我省掉了至少三次答辩现场的尴尬。希望帮到你。本文还有配套的精品资源点击获取