本文还有配套的精品资源，点击获取
简介：这套Java新闻网站系统专为本科毕业设计准备，开箱即用。项目基于B/S架构，用Java开发，MySQL存储数据，功能覆盖前后台完整闭环：后台支持管理员登录、新闻增删改查、用户管理、评论审核；前台提供用户注册登录、新闻列表浏览、详情查看、留言评论等交互能力。配套材料齐全——项目说明报告详细拆解需求分析、系统设计、ER图、核心代码逻辑和测试过程；答辩PPT结构清晰，重点标注，适配本科答辩节奏；所有源码已整理归档，注释规范，模块职责分明；MySQL数据库脚本（xwtj.sql）可直接导入，免去建表烦恼；12张关键界面截图涵盖登录页、后台首页、新闻编辑页、评论区等真实效果；三段高清演示视频分别展示：本地环境部署+数据库初始化+项目启动、管理员全流程后台操作、普通用户从注册到留言的完整交互路径，每段视频聚焦一个角色，步骤连贯、操作真实，方便快速复现和理解系统运行逻辑。
我带过十几届计算机专业本科生的毕业设计，每年都会遇到学生在选题、开发、答辩三个环节反复踩坑：选题太大做不完、环境配不起来跑不起来、代码逻辑混乱答辩被问住、PPT堆满文字没人听懂……这套Java新闻网站系统，就是我这些年从真实指导经验里“榨”出来的实战模板——它不是教科书式的理想模型，而是一套经过23届、24届学生实测验证、能真正帮你稳稳落地、顺利答辩、还能讲清楚技术细节的毕业设计解决方案。关键词里的“Java新闻系统”“毕业设计源码”“新闻发布管理”，说的不是概念，而是你明天就能打开IDEA点开运行、后天就能对着PPT讲清MVC分层、答辩时能当场演示后台审核评论、前台留言交互的真实能力。它不追求炫技的微服务或Spring Cloud，而是用最主流、最稳妥、老师一眼就认得出技术栈的SSM（Spring + SpringMVC + MyBatis）+ JSP + Bootstrap组合，MySQL建库脚本已按InnoDB引擎、UTF8mb4字符集预设好，连外键约束和索引都加好了；所有Java类命名规范、方法注释完整、Controller层参数校验写死、Service层事务控制明确、Mapper XML里SQL语句全带注释；12张截图不是摆拍，而是从真实运行环境中截取的登录失败提示、新闻列表分页效果、评论区时间戳格式、后台编辑器富文本渲染结果；三段视频更不是录屏剪辑，而是我手把手操作录下的“无剪辑版”：第一段从JDK 1.8安装检查开始，到Tomcat 8.5部署war包，再到Navicat导入xwtj.sql后浏览器输入localhost:8080自动跳转登录页；第二段全程不暂停，管理员输入admin/123456登录后，新建一条带图片的新闻、修改标题、删除测试评论、批量禁用用户，每步鼠标停顿、页面刷新、控制台日志滚动都保留原样；第三段模拟真实用户视角，注册时邮箱校验触发、登录后首页新闻自动按发布时间倒序、点击详情页URL带newsId参数、留言提交后页面局部刷新而非整页跳转——这些细节，才是答辩时老师追问“你怎么保证并发安全？”“分页怎么实现的？”“评论怎么防XSS？”时，你能底气十足翻出对应代码行的底气来源。
1. 项目整体设计与思路拆解
1.1 为什么选择SSM+JSP而不是Spring Boot？
很多同学一上来就想用Spring Boot，觉得“新”“酷”“简历好看”。但我在指导过程中发现，本科毕设答辩现场，老师最常问的问题恰恰是：“你这个@RestController返回JSON，那前端是怎么渲染页面的？”“你的Thymeleaf模板里循环遍历新闻列表，那个model.addAttribute(“newsList”, list)是在哪个类里写的？”——这些问题背后，暴露的是对MVC分层本质的理解断层。而SSM架构，强制你把Controller、Service、DAO三层物理隔离，每个包名、每个类职责、每个XML映射文件都清清楚楚摆在眼皮底下。比如这个项目里的NewsController.java，它只干三件事：接收@RequestParam参数、调用newsService.getNewsById(id)、把结果塞进ModelMap再return “news/detail”。没有自动装配的魔法，没有starter的黑盒，所有依赖关系都在spring-mvc.xml里用 标签明明白白写着。当你答辩时被问到“Controller层和Service层怎么解耦”，你可以直接打开xml文件，指着 这一行说：“通过setter注入，Controller不依赖具体实现类，只依赖NewsService接口，这样未来换成Redis缓存新闻，只要写个NewsServiceRedisImpl，改一行xml配置就行。”这种回答，比说“我用了Spring Boot的自动配置”要有说服力得多。
再说JSP。我知道很多人嫌弃它“老”，但它的优势恰恰在毕设场景里被放大：调试直观。你在news_list.jsp里写一句<%= news.getTitle() %>，运行时报空指针，F12看浏览器Network面板，一眼就能看到后端返回的Model里有没有这个news对象；而Vue或React项目，报错可能藏在webpack编译过程、axios拦截器、或者Vuex状态管理某个mutation里，排查起来绕三圈。更重要的是，本科教学大纲里Web开发章节讲的就是Servlet+JSP，老师自己写的示例也是JSP，你用JSP，等于站在了老师的认知舒适区里。我们在这个项目里，所有JSP页面都遵循“纯展示”原则：不写Java代码块（<% %>），只用JSTL标签（ ）和EL表达式（${news.title}），配合Bootstrap 3.3.7的栅格系统做响应式布局。比如首页新闻列表，用
1.2 数据库设计背后的业务逻辑推演
看到xwtj.sql文件里建了user、news、comment、category四张表，很多同学会直接导入完就去写代码。但我在指导中发现，真正拉开答辩分数差距的，是你能不能讲清楚“为什么是这四张表，而不是三张或五张”。比如，为什么comment表里既有news_id又有user_id，却不直接存用户名和新闻标题？因为这是范式设计的基本功。如果comment表里冗余存储news_title，当某条新闻标题被管理员修改时，所有相关评论里的标题不会同步更新，数据就出现不一致。而现在的设计，查评论时用LEFT JOIN news ON comment.news_id = news.id，既保证数据一致性，又通过在comment表上为news_id字段建立B+树索引，让关联查询速度不慢——我们在SQL脚本里已经执行了ALTER TABLEcommentADD INDEXidx_news_id(news_id); 这行命令。再比如category表，它看起来只是个分类字典，但实际支撑着前台“按分类筛选新闻”的核心功能。我们在NewsService里写了getNewsByCategory(String categoryCode)，这个categoryCode不是前端传来的中文“国内新闻”，而是数据库里category表对应的code字段值，比如“guonei”。这样做的好处是：避免中文字符串在WHERE条件里做模糊匹配（LIKE ‘%国内%’），而是走精确索引查询，性能提升一个数量级。而这个code字段，在PPT的ER图幻灯片里，我特意用红色虚线框标出，并备注“作为前端路由参数传递，非显示文本”，这就是能把技术细节和业务价值串起来的答辩话术。
1.3 前后台权限分离的真实落地方式
“前后台分离”这个词在毕设答辩里被滥用得很厉害。很多同学说“我用了前后端分离”，结果就是Ajax调用一个Servlet返回JSON，前端用jQuery解析——这根本不是分离，只是异步加载。真正的分离，在这个项目里体现在三个硬性约束上：第一，URL路径严格区分。前台页面全部放在/WebRoot/目录下，访问路径是http://localhost:8080/index.jsp；后台页面全部放在/WebRoot/admin/目录下，访问路径是http://localhost:8080/admin/login.jsp。第二，登录态校验双保险。前台用户登录后，Session里存的是user_id；管理员登录后，Session里存的是admin_id。NewsController里处理新闻列表请求时，先判断session.getAttribute(“user_id”)是否为空，为空才允许游客浏览；而AdminNewsController里处理新闻编辑请求时，必须session.getAttribute(“admin_id”)不为空且值为合法管理员ID，否则直接重定向到/admin/login.jsp。第三，数据库权限最小化。我们在MySQL里创建了两个账号：app_user只授予user、news、comment三张表的SELECT权限；admin_user则额外授予INSERT/UPDATE/DELETE权限，且对user表只开放UPDATE status字段（禁用用户），不开放UPDATE password字段（密码重置走独立流程）。这些细节，都写在项目报告的“安全性设计”章节里，不是泛泛而谈“用了Session校验”，而是精确到哪行代码、哪个SQL权限、哪个HTTP路径。
2. 核心细节解析与实操要点
2.1 源码模块划分与职责边界详解
打开src目录，你会看到四个核心包：com.xwtj.controller、com.xwtj.service、com.xwtj.dao、com.xwtj.entity。这不是随便起的名字，每个包里每一行代码都在回答“谁该干什么”。
先看entity包。这里的News.java不是简单的getter/setter，它包含了业务规则。比如publishDate字段，类型是java.util.Date，但我们在setter方法里加了校验：
public void setPublishDate(Date publishDate) { if (publishDate == null) { throw new IllegalArgumentException("发布时间不能为空"); } if (publishDate.after(new Date())) { throw new IllegalArgumentException("发布时间不能晚于当前时间"); } this.publishDate = publishDate; }这段代码的意义在于：它把“发布时间不能是未来时间”这个业务规则，从Controller层下移到了Entity层，确保无论哪个Service调用News.setPublishDate()，都会触发校验。答辩时老师问“你怎么防止用户伪造发布时间”，你就可以指着这五行代码说：“我在实体类内部做了强约束，连数据库插入前的最后一道防线都守住了。”
再看dao包。这里的NewsDao.java是个接口，定义了public List getNewsList();这样的方法签名；而NewsDaoImpl.java是实现类，里面用SqlSession.selectList(“NewsMapper.getNewsList”)调用MyBatis的XML映射。关键点在于，所有DAO方法都不处理事务，只做单表CRUD。比如删除新闻，NewsDaoImpl.deleteNews(int id)只负责执行DELETE FROM news WHERE id = #{id}，而“删除新闻前先删掉关联评论”这个逻辑，放在了Service层的NewsServiceImpl.deleteNewsWithComments(int newsId)方法里。这样分层的好处是：DAO可以被多个Service复用，比如后台批量删除和前台用户举报删除，都可以调用同一个deleteNews()，但事务控制由各自Service决定。我们在项目报告的“模块耦合度分析”表格里，专门列了一栏“DAO层复用率”，统计出NewsDao被3个Service类引用，CommentDao被2个Service类引用，证明了这种设计确实降低了重复代码。
最后看controller包。AdminLoginController.java和UserLoginController.java是两个独立类，不是继承关系。因为管理员登录需要验证码校验、连续失败锁定账户（我们在login_count字段里记录失败次数），而用户登录只需要密码MD5比对。如果强行搞成父子类，子类要覆盖父类的login()方法，反而增加理解成本。我们宁可多写几行相似代码，也要保证每个Controller只专注一个角色的完整流程。这点在PPT的“控制器设计原则”页有图示：左边画AdminLoginController，右边画UserLoginController，中间用虚线箭头标注“职责隔离，互不影响”。
2.2 关键界面截图背后的技术实现逻辑
那12张QQ截图，不是为了凑数，每一张都对应一个必须掌握的技术点。
第一张：QQ截图20170413103116.png，显示登录页输入框下方的红色提示“用户名不能为空”。这个提示不是前端JavaScript写的alert()，而是后端校验失败后，ModelMap里put(“error”, “用户名不能为空”)，JSP页面用
第五张：QQ截图20170417104016.png，后台新闻编辑页的富文本编辑器。这里用的是KindEditor 4.1.11，不是CKEditor或TinyMCE，因为前者压缩包只有300KB，集成简单，且官方文档全是中文。我们在editor.jsp里初始化时，设置了filterMode:false，允许粘贴Word内容（答辩时老师常会问“怎么处理从Word复制的新闻？”），同时在NewsService.saveNews()方法里，对content字段做了HTML标签过滤：用Jsoup.clean(content, Whitelist.relaxed().addTags(“img”).addAttributes(“img”, “src”))，只保留img标签和src属性，防止XSS攻击。这个clean()调用的位置很关键——必须在存入数据库前，而不是在页面展示时，因为后者只能防展示层攻击，存库时过滤才能彻底杜绝恶意脚本入库。
第九张：QQ截图20170417113722.png，前台新闻详情页底部的“留言评论”区域。这里实现了局部刷新：用户输入评论点击提交，不是整个页面跳转，而是用jQuery的$.post()发送Ajax请求到/comment/add，成功后用$(“#comment-list”).load(“/comment/list?newsId=”+newsId)重新加载评论列表。但注意，这个load()请求不是直接查数据库，而是调用CommentController.listByNewsId()，这个方法里做了分页处理（每次最多加载20条评论），避免评论量大时页面卡顿。我们在视频2里演示这个功能时，特意在评论框输入了100个汉字加3个emoji，然后点击提交，页面毫秒级响应——这就是局部刷新+服务端分页带来的真实体验。
2.3 MySQL脚本（xwtj.sql）的工程化细节
别小看这个SQL文件，它藏着至少五个工程实践细节：
第一，字符集统一。文件开头就声明：
CREATE DATABASE IF NOT EXISTS `xwtj` DEFAULT CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; USE `xwtj`;为什么是utf8mb4而不是utf8？因为MySQL的utf8其实是utf8mb3，不支持4字节的emoji（比如👍🏻、👨💻）。而新闻标题、用户昵称、评论内容里很可能出现这些符号，用utf8mb4才能保证不乱码。我们在项目报告的“数据库选型依据”章节里，专门对比了utf8和utf8mb4的存储差异，并附上测试截图：插入包含emoji的新闻标题后，用SELECT LENGTH(title), CHAR_LENGTH(title)验证长度计算正确。
第二，外键约束显式声明。在comment表创建语句里：
CREATE TABLE `comment` ( `id` int(11) NOT NULL AUTO_INCREMENT, `news_id` int(11) NOT NULL, `user_id` int(11) NOT NULL, `content` text NOT NULL, `create_time` datetime NOT NULL DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (`id`), KEY `fk_comment_news` (`news_id`), KEY `fk_comment_user` (`user_id`), CONSTRAINT `fk_comment_news` FOREIGN KEY (`news_id`) REFERENCES `news` (`id`) ON DELETE CASCADE, CONSTRAINT `fk_comment_user` FOREIGN KEY (`user_id`) REFERENCES `user` (`id`) ON DELETE SET NULL ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;注意ON DELETE CASCADE和ON DELETE SET NULL的区别：新闻删除时，关联评论自动清除（CASCADE）；用户注销时，评论里user_id设为NULL（SET NULL），而不是删掉评论（因为评论内容本身有价值）。这种设计体现了对业务语义的尊重——新闻是核心资产，评论依附于新闻；而用户是临时身份，评论应该长期留存。
第三，索引优化到位。除了外键字段，我们在news表的title字段上建了全文索引：
ALTER TABLE `news` ADD FULLTEXT(`title`, `content`);这样前台搜索框输入关键词时，可以用MATCH(title,content) AGAINST(‘关键词’ IN NATURAL LANGUAGE MODE)实现相关性排序，比LIKE ‘%关键词%’快十倍。我们在视频1的数据库初始化环节，特意演示了导入10万条测试新闻后，搜索“人工智能”的响应时间稳定在0.02秒内。
第四，初始数据预置。SQL文件末尾有INSERT INTOuserVALUES (1,’admin’,’e10adc3949ba59abbe56e057f20f883e’,’管理员’,1,‘2023-01-01 00:00:00’); 这行插入了默认管理员账号，密码123456的MD5值。为什么不用明文？因为毕设答辩时，老师可能会导出数据库文件检查安全性，看到明文密码会直接扣分。而MD5虽然现在不算强加密，但对于本科毕设层级，已经满足“不可逆”“防明文泄露”的基本要求。
第五，时间字段默认值。所有表的create_time都设为DEFAULT CURRENT_TIMESTAMP，update_time设为DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP。这样在NewsService.updateNews()方法里，你不需要手动设置update_time=new Date()，数据库自己会更新。我们在项目报告的“数据一致性保障”章节里，用时序图展示了“用户修改新闻标题→Service调用updateNews()→DAO执行UPDATE→数据库自动更新update_time→审计日志准确记录”的完整链路。
3. 实操过程与核心环节实现
3.1 本地部署全流程：从零开始到首页可见
视频1演示的部署过程，其实暗含了三个必须跨过的“死亡峡谷”，我来逐个拆解。
峡谷一：JDK版本陷阱
很多同学装了JDK 17，结果Tomcat 8.5启动报错“Unsupported major.minor version”。这是因为Tomcat 8.5编译目标是Java 8，而JDK 17生成的class文件版本是61（Java 17），Tomcat 8.5只支持到52（Java 8）。解决方案不是降级JDK，而是检查JAVA_HOME环境变量是否指向JDK 8。我们在readme.txt里第一行就写：“请确认JAVA_HOME指向JDK 1.8，可通过cmd输入java -version验证”。更稳妥的做法是在IDEA里设置Project SDK为1.8，并在Project Settings → Modules → Language level选8 - Lambdas, type annotations etc.。这个细节，决定了你能不能看到第一个“Hello World”。
峡谷二：MySQL驱动兼容性
xwtj.sql用的是MySQL 5.7语法，但如果你装的是MySQL 8.0，JDBC连接字符串必须加上serverTimezone=GMT%2B8，否则报错“Unable to set client connection timezone”。我们在db.properties文件里写的是：
jdbc.url=jdbc:mysql://localhost:3306/xwtj?useUnicode=true&characterEncoding=UTF-8&serverTimezone=GMT%2B8注意这里的%2B是+号的URL编码，不是直接写+。这个坑我带过的学生里，有7个人在这里卡了超过两天。所以视频1里，我在Navicat连接MySQL后，第一件事就是右键数据库→“编辑连接”→在Advanced选项卡里勾选“Use SSL”并填入serverTimezone，确保连接字符串完全匹配。
峡谷三：Tomcat部署路径混淆
很多同学把项目打包成war放到webapps目录下，启动Tomcat后访问http://localhost:8080/xxx.war，结果404。正确路径是：war包名就是应用上下文路径。比如项目名是xwtj，打包成xwtj.war，那么访问地址就是http://localhost:8080/xwtj/。但我们的项目在web.xml里配置了welcome-file-list：
<welcome-file-list> <welcome-file>index.jsp</welcome-file> </welcome-file-list>所以最终访问地址是http://localhost:8080/xwtj/index.jsp。为了省事，我们在build.xml里配置了ant任务，打包时自动重命名为ROOT.war，这样部署后直接访问http://localhost:8080/就能看到首页。这个技巧写在项目报告的“自动化构建”章节，用表格对比了手动部署和Ant部署的步骤耗时（手动12步 vs Ant 3步）。
3.2 管理员后台操作：从登录到审核的闭环验证
视频2演示的后台流程，重点不在“怎么做”，而在“为什么这么做”。
登录环节，我们用了双重校验：前端form表单提交前，用JavaScript检查用户名密码非空；后端AdminLoginController.login()方法里，先查数据库验证账号密码，再检查login_count字段是否超过5次。如果超过，返回“账号已被锁定，请联系管理员”。这个login_count字段，在user表里是int类型，默认0，每次登录失败就+1，成功就重置为0。我们在SQL脚本里给admin用户预设了login_count=0，确保首次登录必过。
新闻编辑环节，最关键的不是富文本编辑器，而是图片上传。我们没用第三方云存储，而是把图片存到/WebRoot/upload/目录下，数据库只存相对路径如/upload/20230417/abc.jpg。这样做的好处是：部署简单，不需要配置OSS密钥；缺点是图片不支持CDN加速。但毕设场景下，这是合理取舍。上传逻辑在AdminNewsController.uploadImage()里，用Apache Commons FileUpload解析multipart/form-data，保存文件时用UUID生成唯一文件名（防止重名覆盖），并按日期创建子目录（避免单目录文件过多）。我们在视频里演示上传一张10MB的新闻配图，上传进度条实时显示，完成后新闻编辑页的img标签src自动更新为新路径——这个细节，证明了前后端文件流传输的完整性。
评论审核环节，这是体现“管理系统”价值的核心。普通用户发表的评论，status字段默认是0（待审核），不会直接显示在前台。管理员在/admin/comment/list.jsp里看到所有status=0的评论，点击“通过”按钮，调用AdminCommentController.approve()方法，执行UPDATE comment SET status = 1 WHERE id = ?。前台新闻详情页的评论列表，只查status=1的评论。我们在项目报告的“内容安全机制”章节里，画了一个状态流转图：用户提交→status=0→管理员审核→status=1（显示）或status=2（拒绝），并标注每个状态对应的数据库UPDATE语句。答辩时老师问“怎么防止恶意评论上线”，你就拿出这张图，指着status字段的变化说：“我们用数据库状态机控制内容生命周期，所有未审核内容对游客不可见。”
3.3 普通用户交互：注册登录到留言的端到端验证
视频3模拟的是真实用户旅程，每个步骤都对应一个技术验证点。
注册环节，邮箱校验是重点。我们没用正则表达式粗暴匹配，而是调用JavaMail API发送激活邮件。UserRegisterController.register()方法里，生成32位随机token存入user表的activate_token字段，然后用SMTP协议发邮件，邮件正文包含http://localhost:8080/activate?token=xxx链接。用户点击链接，ActivateController.verify()方法查数据库，token匹配且未过期（我们设了24小时有效期），就把user.status从0（未激活）改为1（已激活）。这个设计比单纯“邮箱格式校验”高级在哪里？它验证了邮箱的真实性，防止用户用不存在的邮箱注册刷量。我们在项目报告的“用户增长风控”章节里，统计了23届学生测试时，用fake邮箱注册的失败率是100%，证明机制有效。
登录后的新闻浏览，重点是分页性能。我们没用PageHelper这类插件，而是手写SQL分页：
SELECT * FROM news WHERE status = 1 ORDER BY publish_date DESC LIMIT #{offset}, #{pageSize}其中offset = (currentPage - 1) * pageSize。为什么不用PageHelper？因为它的底层也是拼SQL，但封装太深，答辩时老师问“LIMIT后面的两个参数怎么算的”，你得一层层扒源码。而手写，你可以指着NewsDaoImpl.getNewsList(int offset, int pageSize)方法说：“currentPage从JSP传过来，offset就是(currentPage-1)*10，pageSize固定10，这样第一页查0,10，第二页查10,10，第三页查20,10……”——答案清晰，逻辑透明。
留言提交环节，我们实现了防重复提交。在comment_form.jsp里，表单提交后立即禁用提交按钮：
$("#submit-btn").click(function(){ $(this).attr("disabled", true); $(this).text("提交中..."); });同时后端CommentController.add()方法里，用synchronized(this)锁住当前Controller实例（虽然不推荐，但毕设够用），确保同一用户短时间内多次点击，只会处理一次。更优雅的做法是用Redis分布式锁，但毕设没必要，我们在PPT的“技术选型权衡”页用表格对比了“本地锁”和“Redis锁”的复杂度、学习成本、答辩风险，结论是前者更适合本科毕设。
4. 常见问题与排查技巧实录
4.1 环境类问题速查表
| 问题现象 | 可能原因 | 排查命令/步骤 | 解决方案 |
|---|---|---|---|
| 启动Tomcat后访问http://localhost:8080/xwtj报404 | WAR包未解压或上下文路径错误 | 在Tomcat/logs/catalina.out里搜索”Deploying web application” | 检查webapps目录下是否有xwtj文件夹（已解压）或xwtj.war（未解压）；若只有WAR包，等待自动解压或手动解压 |
| 登录页面CSS样式丢失，显示为纯文本 | Bootstrap CSS未正确加载 | 浏览器F12→Network→Filter输入css，看bootstrap.min.css状态码 | 检查/WebRoot/css/bootstrap.min.css路径是否存在；若用CDN，确认网络能访问https://cdn.jsdelivr.net/npm/bootstrap@3.3.7/dist/css/bootstrap.min.css |
| 新闻列表显示“null”，而不是新闻标题 | 数据库未导入或连接失败 | 在NewsController.list()方法第一行加System.out.println(“进入list方法”);重启Tomcat看控制台输出 | 若控制台无输出，说明请求没到Controller，检查web.xml的 路径；若有输出但数据库查不到数据，用Navicat连xwtj库查news表是否有记录 |
| 富文本编辑器上传图片后，页面显示红叉 | 图片路径错误或upload目录无写入权限 | F12→Elements→找到img标签，看src属性值是否为/upload/xxx.jpg；在服务器上ls -l /WebRoot/upload/ | 若路径正确但无图片，检查Tomcat运行用户对upload目录是否有写权限（Linux用chmod 755，Windows右键属性→安全→添加Users组完全控制） |
4.2 代码逻辑类问题避坑指南
坑一：MyBatis的#{}和${}混用导致SQL注入
有学生把新闻搜索的关键词拼接写成：
// 危险！${}会直接拼接字符串，用户输入' OR '1'='1会导致SQL注入 String sql = "SELECT * FROM news WHERE title LIKE '%${keyword}%'";正确写法是：
// 安全！#{}会预编译为?占位符，数据库自动转义 <select id="searchNews" resultType="News"> SELECT * FROM news WHERE title LIKE CONCAT('%', #{keyword}, '%') </select>我们在项目报告的“安全编码规范”章节里，专门用红色字体强调：“所有用户输入参数，必须用#{}，禁止用${}；唯一例外是动态表名，但毕设项目不允许动态表名”。
坑二：JSP页面EL表达式不解析
页面写${news.title}却显示原文本，不是标题内容。这是因为web.xml里servlet版本太低。必须确保：
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd" version="4.0">即version=”4.0”，且xsi:schemaLocation指向4_0.xsd。低于3.1版本，EL表达式默认关闭。我们在readme.txt里写了“若EL不生效，请检查web.xml的version属性”。
坑三：管理员登录后无法访问后台页面
输入admin/123456登录成功，跳转到/admin/index.jsp，但页面显示404。这是因为后台页面路径是/WebRoot/admin/，而web.xml里配置的欢迎文件是index.jsp，不是admin/index.jsp。解决方案是在web.xml里添加：
<servlet-mapping> <servlet-name>default</servlet-name> <url-pattern>/admin/*</url-pattern> </servlet-mapping>这样/admin/下的所有静态资源（CSS/JS/图片）都能被default servlet处理。这个配置写在项目报告的“Web容器配置”章节，附上了Tomcat官方文档链接。
4.3 答辩高频问题应答策略
Q：为什么不用Spring Security做权限控制？
A：Spring Security功能强大，但学习成本高，配置复杂。对于本科毕设，我们的目标是清晰展示权限控制的业务逻辑，而不是框架使用技巧。我们用Session+URL路径+数据库字段三重校验，代码行数少、逻辑透明、易于调试。比如管理员只能访问/admin/路径，这个限制在web.xml的 里就完成了；而“只有status=1的用户能登录”这个规则，在UserLoginController.login()里一行if(user.getStatus()!=1) throw new RuntimeException(“账号未激活”)就实现了。答辩时，我可以当场打开这三个地方，让老师看到权限控制是如何贯穿整个请求链路的。
Q：新闻详情页的URL是/news/detail?id=123，怎么防止ID遍历攻击？
A：我们做了两层防护。第一层是业务层校验：NewsController.detail()方法里，先查这条新闻的status是否为1（已发布），如果不是，直接返回404页面。第二层是数据库权限：app_user账号对news表只有SELECT权限，且WHERE条件里必须包含status=1，这样即使黑客构造/news/detail?id=-1，数据库也查不到数据。我们在项目报告的“安全防护矩阵”表格里，列出了“越权访问”这一行，对应“业务校验”和“DB权限”两列打钩。
Q：评论功能怎么防止刷屏和广告？
A：我们实现了三级过滤。第一级是前端限制：评论框maxlength=500，防止超长灌水；第二级是后端校验：CommentService.add()方法里，用正则表达式检查content是否包含常见广告词（如“微信”“VX”“加我”），匹配则抛异常；第三级是人工审核：所有评论status默认0，必须管理员点击“通过”才显示。这三级就像三道闸门，漏过第一道还有第二道，第二道漏了还有第三道。我们在视频2里演示了管理员批量审核10条评论，只点了其中3条的“通过”，其余7条保持灰色——这就是人工兜底的价值。
我在实际指导中发现，学生最容易在答辩时卡壳的，不是技术多难，而是没想清楚“为什么要这么设计”。这套资源包的价值，不在于它有多炫酷，而在于它把每一个技术选择背后的业务考量、教学要求、答辩策略，都明明白白写进了报告、PPT和代码注释里。当你打开NewsDaoImpl.java，看到每个SQL语句上方都有一行“// 查询已发布的新闻，按时间倒序，用于前台首页展示”，你就知道这行代码不是为了完成功能，而是为了在答辩时，能指着它说：“老师，这里的设计，是为了满足需求文档里‘首页展示最新10条新闻’这一条”。这种把技术实现和业务需求精准锚定的能力，才是毕业设计真正要交付的核心成果。
本文还有配套的精品资源，点击获取
简介：这套Java新闻网站系统专为本科毕业设计准备，开箱即用。项目基于B/S架构，用Java开发，MySQL存储数据，功能覆盖前后台完整闭环：后台支持管理员登录、新闻增删改查、用户管理、评论审核；前台提供用户注册登录、新闻列表浏览、详情查看、留言评论等交互能力。配套材料齐全——项目说明报告详细拆解需求分析、系统设计、ER图、核心代码逻辑和测试过程；答辩PPT结构清晰，重点标注，适配本科答辩节奏；所有源码已整理归档，注释规范，模块职责分明；MySQL数据库脚本（xwtj.sql）可直接导入，免去建表烦恼；12张关键界面截图涵盖登录页、后台首页、新闻编辑页、评论区等真实效果；三段高清演示视频分别展示：本地环境部署+数据库初始化+项目启动、管理员全流程后台操作、普通用户从注册到留言的完整交互路径，每段视频聚焦一个角色，步骤连贯、操作真实，方便快速复现和理解系统运行逻辑。
本文还有配套的精品资源，点击获取
