企业官网建设流程全解析

“企业级论文管理系统”这套源码我整理了两遍。第一遍是按着毕设Demo的标准做的，能登录、能传文件、能审核，看着功能都有，但稍微压点数据就卡，权限一复杂就乱，最后交付前改得焦头烂额。第二遍才真正按照SpringBoot + Vue + MyBatis + MySQL这套组合的规范来重构，该拆的拆、该缓存的缓存、该加索引的加索引，才算有了一点“企业级”的影子。

这篇不打算做那种一步一步教怎么点鼠标的教程，而是把我从搭建到跑通、再到二次开发阶段的完整过程写出来。内容包括项目结构怎么组织、数据库表怎么设计、后端核心模块怎么实现、前端翻车怎么排查，以及源码复现时最容易出问题的几个点。适合刚学完SpringBoot和Vue想做完整项目的人，也适合准备用它做毕业设计或求职项目展示的同学。如果你已经在带小团队做毕设项目，里面关于权限模型和审核流程的设计思路也可以直接抄。

1. 项目的真实业务需求：论文管理系统到底要管什么

1.1 别急着写代码，先画一条完整的业务链路

很多人拿到“论文管理系统”这个题目，第一反应是“不就是论文的上传和下载吗”。真做起来就发现不对：论文不是学生毕业前直接丢一个Word给老师，中间隔着选题申报、开题报告、中期检查、提交初稿、查重、审核、答辩评分、最终归档一大堆环节。这套源码里，我把整个链路抽象成了七个状态，用户每一次操作都在把论文这个对象从一个状态推到下一个状态：

• 选题申报
• 开题报告
• 中期检查
• 初稿提交
• 查重与审核
• 答辩评分
• 归档结束

这里列出来很简单，但设计时有个关键的边界问题：状态流转到底放在前端控制还是后端控制。如果放在前端，按钮显示起来很灵活，但接口可以被绕过，你永远不知道用户是不是调了别人的接口改了自己的状态。所以完整版的实现原则是状态机不在前端，前端只负责展示当前状态下可以做的操作，所有状态变更都走后端接口校验，由后端确认“当前状态 -> 目标状态”是否合法。这个设计看起来多写不少代码，但它是整个系统权限不崩、流程不乱的基石。

1.2 四类角色，权限模型其实比功能更重要

这套系统的用户分为学生、导师、教务管理员、系统管理员四类。学生提交选题和论文材料；导师审核、填写修改意见、打分；教务管理全流程并处理驳回和延期；系统管理员负责用户、角色、菜单、字典这类基础设施。难得不是给不同角色分配页面，而是同一套接口对不同角色要有不同的数据范围和操作权限。比如“查询论文列表”这个接口，学生只能看到自己的，导师只能看到自己名下的，教务能看到全院，管理员能看到全部。如果只做前端菜单隐藏，后端接口不做数据权限过滤，一抓包就全漏了。

完整版代码里权限这块分了三层：接口访问权限用Spring Security的注解控制，数据范围在SQL层通过当前登录用户的角色和约束条件自动拼条件，按钮级别则用前端路由元信息里的role字段控制。三层各管各的，缺一层都会出问题。你在复现源码后一定要把当前用户对象从头到尾捋一遍，知道它存了哪些字段，权限校验在过滤器、拦截器、切面、SQL四个地方各做什么事，这块弄明白了，整个项目你就能hold住。

1.3 流程中的“反人类”需求：驳回与修改意见

还有一个特别容易被忽略的需求：驳回。论文审核不可能一次通过，导师要写修改意见，学生改完重新提交，这个过程可能要循环好几轮。这时候如果每轮都覆盖原文件，那前面的意见就失效了。所以数据库里论文主体表是一对多关系，一个论文ID可以对应多个版本，每次提交都新增一条版本记录，状态字段记当前阶段，主键关联逻辑版本号。这样导师的意见可以关联到具体某个版本，学生改没改、改了多少，系统里一目了然。这个设计在论文答辩和归档时作用极大——评阅老师要看的往往不是终稿，而是修改过程。

我见过很多半成品源码，论文表就一张，每提交一次UPDATE一次，第一次看能跑，多走两轮流程数据就乱套了。这里提个醒：复现源码时重点看论文主表和论文版本表这两张表的关系，这是整个项目最容易出价值的地方，也是我在面试时最喜欢问应聘者的问题。

2. 技术选型复盘：SpringBoot、Vue、MyBatis、MySQL怎么搭配才不翻车

2.1 SpringBoot版本：不是越高越好

我最早建项目时，IDEA默认拉的是SpringBoot 3.2，依赖倒是能下载，但一启动就报错，原因五花八门：javax命名空间变成了jakarta、MyBatis老版本不兼容、Spring Security配置类写法全变了。对于这套论文管理系统源码，我推荐SpringBoot 2.7.x，JDK 1.8或者JDK 8，理由很现实：资料全、坑都被踩完了、跟MyBatis和Spring Security的集成最成熟。等你能把这套项目吃透，再迁移Spring Boot 3也不迟，迁移的时候你才会真正理解那些版本差异背后的设计变化。

网上搜“springboot版本太高”的人特别多，大多不是技术问题，而是生态兼容问题。SpringBoot本身只是框架壳子，真正让你跑不起来的是第三方库和它之间的版本契约。所以我的原则是：项目选型不追新，先保证团队里所有人都能一键跑起来，再谈新特性。

2.2 MyBatis和MyBatis-Plus怎么选

很多开源项目直接用MyBatis-Plus，因为它内置了通用CRUD和分页插件，开发效率高。但这套完整版源码我刻意用原生MyBatis + 手写XML SQL，因为核心业务里有大量动态SQL、多表关联、按角色拼接数据权限的查询，用MyBatis-Plus反而绕。比如“论文列表”接口，要根据当前角色动态拼接不同的查询条件，手写SQL最直观。MyBatis的Mapper接口 + XML是最稳的组合，实体类里不要出现太多业务注解，保持干净才好维护。

当然，这不是说MyBatis-Plus不行。基础增删改查、单表分页，它确实能省很多代码。我自己的判断标准很简单：如果业务SQL超过三张表关联或者涉及动态权限过滤，原生MyBatis；如果只是纯粹的CRUD后台，MyBatis-Plus。把这两种思路都掌握，才是完整的MyBatis能力。

2.3 Vue选2还是选3，以及工程化目录

这套源码前端采用Vue 2 + Element UI，不是我保守，而是这套组合在“论文管理系统”这种以表单、表格、弹窗、流程为主的中后台场景里足够稳定，组件生态也最丰富。想用Vue 3 + Element Plus也没问题，改动点主要集中在main.js的挂载方式、路由引入、部分组件API，整体思路一致。如果你刚入门，建议先按源码的Vue 2版本跑通，再自己升级Vue 3，这个升级过程本身就是一次很好的学习。

前端目录我建议固定成views、components、router、store、api、utils。views按业务模块分目录，components放公共组件，api目录下每个文件对应一个后端Controller，用统一封装的axios实例发起请求。很多项目前端代码乱，最大的原因就是所有逻辑都堆在页面组件里。组件只管渲染和交互，数据请求都走api目录，这样后面维护真的会少掉很多头发。

2.4 MySQL 5.7还是8.0

数据库我用的MySQL 5.7。不是说8.0不好，而是如果源码要发给别人复现，5.7的兼容性最好，安装包小、内存占用低、老机器也跑得动。你用MySQL 8.0也能跑，但要注意三件事：驱动类要改成com.mysql.cj.jdbc.Driver，连接URL加上serverTimezone=Asia/Shanghai，MySQL 8默认字符集utf8mb4，排序规则建议选utf8mb4_general_ci。网上“mysql安装配置教程”“mysql下载官网”这些词长期热门，说明大部分新人在数据库这步就卡住了。后面我会在复现环节把数据库配置完整给出来。

3. 从零复现源码：建库建表到前后端跑通的完整记录

3.1 环境版本对照表

先给一张我实际使用的版本表，照着装基本不会出大乱子：

尤其是Node版本，用Vue 2项目时如果装的是Node 18以上，npm install经常报错，有些依赖是旧版本，编译会失败。建议直接用nvm管理Node版本，切到14或16再安装依赖。

3.2 数据库初始化

把源码里的init.sql用Navicat或命令行导入前，先手动创建数据库并指定字符集，不然中文容易乱码：

CREATE DATABASE IF NOT EXISTS thesis_management DEFAULT CHARACTER SET utf8mb4 DEFAULT COLLATE utf8mb4_general_ci; USE thesis_management; SOURCE /你的路径/init.sql;

然后在后端application.yml或application.properties里配置数据源。原生MyBatis项目通常这样写：

spring: datasource: driver-class-name: com.mysql.jdbc.Driver url: jdbc:mysql://localhost:3306/thesis_management?useUnicode=true&characterEncoding=utf8&useSSL=false&serverTimezone=Asia/Shanghai username: root password: 你的密码 mybatis: mapper-locations: classpath:mapper/*.xml configuration: map-underscore-to-camel-case: true log-impl: org.apache.ibatis.logging.stdout.StdOutImpl

如果MySQL是8.x，driver-class-name改成com.mysql.cj.jdbc.Driver。url里的useSSL=false必须加，不然连本地也会被SSL证书烦到。map-underscore-to-camel-case建议开启，数据库字段下划线自动映射到Java驼峰属性，少写一堆resultMap。

3.3 后端启动：先过编译关，再看日志

用IDEA打开后端工程后，先等Maven把依赖下载完，然后点启动。第一次跑项目最容易出错的地方是依赖下载超时，因为Maven中央仓库有时候特别不稳定。解决办法是改Maven的settings.xml，用国内镜像源，比如阿里云镜像。这一步卡住的概率比我前面说的任何坑都高，不要硬等。

启动成功后控制台会打印Spring Boot的启动日志，看到“Started”就算后端通了。这里建议打开MyBatis的SQL日志，也就是上面log-impl那一行配置。你会发现每次请求时SQL语句和参数都打印出来，调试时能直接看到拼出来的SQL长什么样，排查数据权限问题特别好用。热词里“mybatis log plugin”是IDEA里的插件，有人觉得装了插件就不用配日志，其实两者不冲突，插件格式化SQL更方便，配置日志可以定位是哪段代码发的查询。

3.4 前端安装依赖与跨域配置

前端拿到源码后，先看package.json里有没有m3u8播放相关的依赖。论文管理系统里如果涉及答辩视频或开题答辩录像的在线播放，会用到hls.js或者video.js播放m3u8视频流。实现逻辑其实不复杂：后端把视频文件转换成m3u8切片，或者直接对接对象存储返回m3u8地址，前端用hls.js实例化播放器。难点一般在跨域和切片路径处理，这个放到后面联调时细说。

安装依赖的方式：

npm install -g cnpm --registry=https://registry.npmmirror.com cnpm install npm run dev

前端工程里vue.config.js配置代理，把/api开头的请求转发到后端8080端口：

module.exports = { devServer: { port: 8081, proxy: { '/api': { target: 'http://localhost:8080', changeOrigin: true } } } };

为什么不建议在前端代码里写死http://localhost:8080？因为一旦部署到服务器，域名和端口都会变，用代理只需要改这一处。这是从源码阶段就应该养成的习惯。

3.5 前后端联调时最让人崩溃的跨域问题

Vue运行在8081，后端在8080，直接请求毫无疑问会跨域。加了上面的代理后，前端看网络请求地址还是/api/xxx，但实际已经转发到后端了。如果后端Controller层同时出现@CrossOrigin注解和Security过滤器，有时会出现“明明配了跨域还是不生效”的情况，这往往是过滤器顺序问题，@CrossOrigin被Spring Security的过滤器拦在前面。解决办法是用CorsFilter注册一个全局的CorsConfigurationSource，而不是在每个Controller上写注解。源码里我采用的是全局配置方式，你在复现时直接照抄就行。

4. 核心模块实现拆解：登录认证、上传下载、分页查询与事务

4.1 登录认证与权限控制的实现层次

完整版的登录用的是Spring Security + JWT。用户输入用户名密码后，后端校验通过生成一个JWT token，返回给前端。前端把token存到localStorage或Vuex里，每次请求时在axios拦截器里把它塞到Authorization头。后端过滤器从请求里取出token，解析出用户ID和角色，放到SecurityContext中，后续的Controller、Service、Mapper就都能拿到当前操作者信息。

这里我特别提醒一句：JWT的核心是签名，不是加密。它加密不了敏感数据，不要往里面塞密码。token里存用户id、角色、过期时间就够了。网上动不动就“JWT加密登录认证”，其实是概念错误，面试时容易被追问翻车。密码存储要加盐哈希，推荐BCrypt，Spring Security内置了PasswordEncoder，直接用就行。

4.2 论文文件上传下载：改名、存盘、大小限制和访问映射

论文文件基本都是Word和PDF，上传功能要处理几个现实问题：文件名乱码、中文文件名、重复文件名、超大文件。源码里的实现是：上传时用UUID或时间戳重命名文件，原文件名存到数据库；文件保存到服务器一个独立目录，比如/upload/paper/{userId}/，而不是放在项目resource目录下，否则重新部署代码文件就丢了。大小限制在Spring配置里设，一般要求：

spring: servlet: multipart: max-file-size: 50MB max-request-size: 100MB

文件下载时，从数据库找到文件路径，用流输出，注意设置Content-Disposition响应头，让浏览器弹出“保存文件”而不是直接打开PDF。PDF和Word在线预览是另一个话题，简单做法是PDF直接用浏览器内置预览，Word转PDF后再预览，或者用第三方文档预览服务。这套源码里我实现了PDF在线预览，Word走下载。

还有一个很容易被忽略的点：文件上传不能只校验后缀名。别人改个后缀名就能伪装成PDF传上来，系统打开时直接报错还算小事，要是上传了可执行脚本或者恶意文件，问题就大了。至少要做MIME类型校验，后端要读文件头判断真实类型，而不是信任前端传过来的参数。能加上文件内容大小校验更稳妥。

4.3 MyBatis分页与拦截器：为什么不用前端分页

论文列表动辄上千条，必须后端分页。原生MyBatis没有内置分页，最常用的方案是PageHelper插件，或者自己写一个拦截器。PageHelper用起来很简单，在Mapper查询前设置PageHelper.startPage(pageNum, pageSize)，后续查询会自动拼LIMIT语句，并返回PageInfo对象。但要注意：它是对下一个最近的MyBatis查询生效，中间不能夹带其他查询，否则分页会被污染。

热词里有“mybatis拦截器”，这个值得深入研究。拦截器除了分页，还可以做SQL日志、字段自动填充、数据权限拦截。比如我在数据权限那块，就用了一个自定义拦截器，在SQL执行前根据当前用户角色自动拼接“创建的院系=当前用户院系”这样的条件。这个做法比在每个Mapper里手动复制条件要干净得多，改起来也集中。

4.4 审核场景的事务与并发控制

论文审核不是一个单表UPDATE，它至少要改三块数据：论文版本状态、审核意见表、通知消息表。这三个操作必须放在同一个事务里，要么全成功，要么全失败。后端Service方法加@Transactional注解，同时要注意别把文件写入磁盘也放进事务里——文件写一半事务回滚了，磁盘上会残留垃圾文件。正确做法是先写文件、再开事务写数据库，如果数据库操作失败再主动删除已落盘的文件。

并发问题更隐蔽。导师和教务同时审核同一篇论文，两人都读到“待审核”状态，然后都把自己的结果写进去，后写的把先写的覆盖了。解决思路是乐观锁：在论文主表加version字段，UPDATE时带上where version = #{oldVersion}，受影响行数是0就说明被别人改过了，重新读取再处理。这也是面试时很有含金量的知识点，比单纯说“我加了事务”高级得多。

5. 实战踩坑记录：从报错到解决的完整排查链路

5.1 SpringBoot版本过高引起的启动失败

现象：后端工程导入后，SpringBoot启动一两秒就退出，控制台报NoSuchMethodError或者ClassNotFoundException，错误堆栈指向Spring Security或MyBatis相关类。

排查链路：先看完整堆栈，确定报错类属于哪个jar。然后打开pom.xml，发现parent版本是3.2.x，而代码里用的还是javax.*这类老包，SpringBoot 3把javax换成了jakarta，老代码自然全部失效。再用mvn dependency:tree查看依赖树，确认spring-boot-starter-security等模块版本和parent不一致。

解决办法：把parent版本降到2.7.18，刷新Maven重新导入。如果项目里还有其他第三方依赖，统一用dependencyManagement锁定版本，防止依赖树里出现不同版本的同一个类。这里有个小技巧：产生依赖冲突时，IDEA里可以按住Ctrl点击类名，右上角会显示这个类来自哪个jar，多看几次就有感觉了。

5.2 MyBatis二级缓存导致审核数据“迷之滞后”

现象：导师审核通过后，学生那边刷新页面还看到“待审核”，过一会才变过来。一开始怀疑是浏览器缓存，清缓存后依然如此。

排查链路：打开SQL日志，发现第一次查询确实查了数据库，第二次相同参数的查询直接走Cache Hit，根本没发SQL。这是MyBatis的二级缓存机制。如果Mapper.xml里配置了 ，同一namespace下的查询结果会被缓存，更新操作发生后缓存没有及时清理，就会读到旧数据。

解决办法：对于论文这类实时性要求高的业务数据，不建议开启二级缓存。把Mapper.xml里的 配置删掉，或设置cacheEnabled为false。如果确实需要缓存，优先用Redis做统一缓存，至少能控制过期时间。这个坑很多人遇不到，是因为小Demo数据量根本看不出差别，一旦数据量上来，脏读的后果会非常严重。

5.3 Vue打包后布局异常，样式全乱

现象：npm run dev时一切正常，npm run build后把dist目录扔到服务器，页面布局错乱，字体图标不显示，图片路径404。

排查链路：按F12看Network面板，发现静态资源请求地址都是/static/css/xx.css，但项目部署在子路径比如/thesis/下，请求直接根路径肯定404。再看路由，用的history模式，刷新二级页面直接404。两个问题分别是构建路径和路由mode导致的。

解决办法：vue.config.js里设置publicPath为相对路径或子路径；路由mode改成hash或配置服务器try_files规则。对于论文管理系统这种中后台项目，直接用hash模式最省事，虽然URL里多个#，但不依赖服务器配置，部署到哪都能用。“vue 打包后 布局异常”这种问题搜的人很多，基本就是上面这个原因，先看资源路径再看路由模式，90%能解决。

5.4 MySQL连接串引发的时区与SSL报错

现象：后端启动时数据源初始化失败，报The server time zone value或Cannot load driver class com.mysql.jdbc.Driver。

排查链路：如果用的MySQL 8.0驱动，class名确实变成了com.mysql.cj.jdbc.Driver，老名字只是兼容别名，有些版本干脆不支持。时区问题则是因为新版连接器要求明确serverTimezone。SSL报错是MySQL 8默认开启SSL。

解决办法：上面已经给过数据源配置，driver-class-name用com.mysql.cj.jdbc.Driver，url里加useSSL=false&serverTimezone=Asia/Shanghai。顺带说一句，数据库密码建议放在环境变量或配置中心，别直接硬编码到application.yml再提交到公开仓库，这条对任何“完整版源码”都适用。

5.5 上传文件后浏览器访问404

现象：文件上传成功，数据库路径也正确，但浏览器打开/upload/xxx.jpg返回404。

排查链路：Spring Boot默认只映射静态资源目录，/upload这种自定义目录不在映射范围。要把本地磁盘路径暴露给外部访问，需要加一个资源映射配置。

解决办法：写一个WebMvcConfigurer，注册addResourceHandlers，把/upload/**映射到实际文件路径。同时注意：如果是前后端分离部署，像视频文件这种大文件，推荐用Nginx直接配置静态目录代理，不要让Spring Boot去读大文件流，性能差距非常明显。热词里出现“vue播放m3u8”，如果视频文件比较大，Nginx处理静态切片比走Java应用服务器要稳得多。

6. 源码拿到手后怎么做二次开发，以及面试怎么讲

6.1 从“能跑”到“能用”的差距清单

很多源码能跑通，但离真正交付还有距离。我列一份清单，复现时对照检查：

• 登录失败次数限制和验证码有没有做
• 密码是不是明文存储
• 文件上传是否校验了文件内容，而不只是后缀名
• 论文列表的大字段（如修改意见）是否导致查询变慢
• 管理员操作有没有审计日志
• 数据库有没有定时备份
• 异常信息是否直接抛给前端，而不是统一错误码
• 分页插件有没有被全局拦截器干扰

这些点每一条都能写进简历当成“项目亮点”，比写“熟悉增删改查”有说服力得多。以审计日志为例，我就加了一个AOP切面，拦截所有管理员操作，把操作人、操作时间、请求参数、修改前后的数据快照存到日志表。看起来只是多了一张表，但这个设计能应对“谁动了我的数据”这种灵魂拷问。

6.2 三个值得扩展的方向

第一个是接入在线查重服务。论文管理系统的核心诉求是流程，但查重才是真正影响用户需求的点。可以用现成的开放接口，把论文文本传到服务商，返回相似度报告，在系统里展示报告详情。第二个是通知机制，目前源码里通知是存在数据库表里，前端轮询展示。可以升级为WebSocket推送，导师审完学生页面立刻收到消息，交互体验质变。第三个是Redis缓存，论文列表、用户信息、菜单权限这些都是读多写少的场景，用Redis缓存后响应时间能从几百毫秒降到个位数毫秒。

这三个方向做完，项目已经超出毕设水平，达到小型商业项目标准了。而且每一个方向都能拆出一段“架构设计”级别的经验，写简历也好、面试聊也好，都有话可说。

6.3 面试时怎么讲这个项目

面试官问到项目，别背功能列表，而是讲你解决的问题。比如“导师和教务同时审核如何避免状态覆盖”这个问题怎么答：先说结论用了乐观锁，再说为什么不用悲观锁（审核操作不频繁，用悲观锁会锁表，影响其他查询），再说实现细节version字段和受影响行数判断。能把这个链条讲清楚，比说一百句“我熟悉Spring Boot”都管用。

另一个高频问题：论文上传为什么不用base64而是MultipartFile。答案边界是base64会让文件体积膨胀三分之一，同时占用大量内存，大文件上传时应用会OOM。MultipartFile走流式传输，文件直接落盘，内存占用可控。这种“为什么”类问题，才是能体现水平的地方。

这套源码整理到最后，我的感受是：真正决定项目价值的，不是用了多少新技术，而是每个基础组件背后的细节能不能讲清楚。SpringBoot + Vue + MyBatis + MySQL这个组合看起来烂大街，但能把它跑通的人很多，能把它调优到可以交付的人少得多。如果你用它做毕设或面试项目，建议不要只停留在“能运行”这个层面，至少手工加一个完整模块，比如公告管理或重新审核，走一遍从建表、后端接口、前端页面到权限配置的完整链路。这个过程比任何教程都更能帮你理解这套架构。哪怕只是加一个字段，也手动把Controller、Service、Mapper、Vue页面四个地方都改一遍，你会对这四层之间的职责边界有非常直观的认识。到了这一步，这套源码才算真正变成了你自己的东西。