本文还有配套的精品资源点击获取简介面向高校数据库或Java Web课程设计的教学实践项目完整实现用户注册、登录、密码加密校验、会话保持及个人信息展示功能。前端基于原生HTMLCSSJavaScript开发具备表单实时验证、错误提示和基础响应式适配后端采用SpringBoot 2.x构建集成MyBatis访问MySQL数据库完成用户信息CRUD、登录状态管理Session、BCrypt密码加密与登录拦截逻辑。项目结构规范包含标准Maven配置pom.xml、分层清晰的src/main源码目录controller/service/mapper/entity、.gitignore版本控制配置、LICENSE开源协议文件及详细README.md说明文档开箱即用支持本地IDE导入后一键启动适合数据库原理、SpringBoot入门、Web全栈实训等教学场景直接复用。1. 项目概述为什么这个登录系统特别适合数据库课设高校数据库课程设计最怕什么不是写不出ER图也不是画不好关系模式而是——做出来的东西“不像个系统”。学生交上来一份纯SQL脚本或者一个只有增删改查的控制台程序老师一眼就看出这没走通Web应用的完整链路。而真正能体现数据库设计能力、SQL编写功底、前后端协作意识和工程规范意识的恰恰是一个“小而全”的用户登录系统。它不追求高并发、不堆炫酷UI但必须把数据建模→表结构实现→SQL编写→接口暴露→前端调用→状态管理→安全校验这条主线一环不落地跑通。我带过七届数据库课设每年都会给学生推荐这个SpringBootMySQL登录系统模板原因很简单它把教学目标拆解成了可执行、可验证、可评分的具体动作。这个项目的核心关键词是“用户登录系统”、“MySQL课程设计”、“SpringBoot实战”三者缺一不可。它不是教你怎么用Spring Security做企业级鉴权而是聚焦在数据库课设最该考察的底层能力上你能不能根据业务需求注册、登录、展示个人信息反向推导出合理的用户表结构你写的INSERT语句有没有考虑唯一约束和非空校验你用MyBatis写的SELECT是否用了参数化防止SQL注入你的密码存储是不是真的用了BCrypt而不是明文或简单MD5这些细节才是数据库原理课该考的真本事。项目前端用原生HTMLCSSJavaScript刻意避开Vue/React等框架就是为了让学生把注意力拉回到HTTP请求、表单提交、Session生命周期这些Web基础概念上而不是被框架语法绕晕。后端用SpringBoot 2.x非最新3.x是因为它的自动配置机制足够清晰学生能看懂application.yml里每一行的作用也能在Controller里直观看到RequestMapping如何映射URL而不是被函数式路由或响应式编程搞懵。整个项目打包下来不到20MBIDEA导入后点一下绿色三角就能跑起来没有环境配置地狱没有依赖冲突报错学生能把时间花在理解逻辑上而不是折腾环境上。我自己试过在一台i5-8250U8G内存的旧笔记本上从解压到浏览器看到登录页全程不超过3分钟。这才是教学级项目的正确打开方式。2. 整体架构与设计思路为什么这样分层而不是用JSP或Thymeleaf2.1 前后端分离的底层教学逻辑很多同学第一反应是“老师为啥不用JSP直接在后端渲染页面那样不是更简单” 这是个好问题也恰恰暴露了对Web开发本质的理解偏差。JSP的本质是服务端模板引擎它把HTML生成逻辑和Java业务逻辑耦合在一起学生很容易写出“在JSP里写SQL”或者“在Servlet里拼接HTML字符串”的反模式代码。而这个项目坚持用纯静态前端HTMLJS通过Ajax调用后端RESTful接口其教学价值在于强制学生建立两个关键认知第一浏览器只认HTTP协议它不管后端用什么语言写的第二数据和视图必须分离数据库里的user表字段要通过JSON格式在前后端之间传递而不是靠服务端直接塞进HTML标签里。我在课设答辩时会专门问学生“当你在JS里写fetch(/api/login, {method: POST, body: JSON.stringify(data)})时这个/api/login对应的后端方法它的返回值类型是什么为什么不能是String而必须是ResponseEntityMapString, Object” 答不上来的基本就是没搞懂前后端交互的契约本质。2.2 数据库设计一张user表背后的三个设计决策别小看那张user表它其实是整个课设的“题眼”。项目里定义的表结构是CREATE TABLE user ( id bigint NOT NULL AUTO_INCREMENT, username varchar(50) NOT NULL UNIQUE COMMENT 用户名唯一, password varchar(100) NOT NULL COMMENT BCrypt加密后的密码, email varchar(100) DEFAULT NULL COMMENT 邮箱可为空, created_time datetime DEFAULT CURRENT_TIMESTAMP COMMENT 创建时间, last_login_time datetime DEFAULT NULL COMMENT 最后登录时间, PRIMARY KEY (id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COLLATEutf8mb4_0900_ai_ci;这张表藏着三个必须讲透的设计点。第一为什么username加了UNIQUE约束而没给email加因为业务规则明确要求“用户名唯一用于登录”但邮箱只是辅助联系信息允许重复比如学生用不同邮箱注册多个账号。第二为什么password字段长度设为100BCrypt加密后的密文固定长度是60个字符留40个余量是为未来升级算法预留空间这是数据库设计中“向前兼容性”的典型实践。第三为什么有两个时间戳字段且默认值策略不同created_time用CURRENT_TIMESTAMP确保插入时自动生成而last_login_time允许为NULL因为新用户从未登录过这个字段要在登录成功后由UPDATE语句显式更新。我在批改课设报告时如果看到学生写的建表语句里password是VARCHAR(32)明显按MD5长度写的或者last_login_time也设了DEFAULT CURRENT_TIMESTAMP就会直接扣分——这不是技术错误而是对业务语义理解的缺失。2.3 安全校验的轻量级实现为什么选BCrypt而不是MD5或SHA256密码安全是数据库课设最容易被忽略的雷区。我见过太多学生把密码明文存数据库或者用DigestUtils.md5DigestAsHex()简单哈希。这种做法在教学场景下是零分项。本项目采用Spring Security Crypto模块的BCryptPasswordEncoder核心原因有三首先BCrypt是自适应慢哈希算法它内置了盐值salt和计算轮数cost factor每次加密结果都不同彻底杜绝彩虹表攻击其次SpringBoot的集成极其干净一行配置就能搞定Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(12); // cost factor12平衡安全与性能 }这里的12不是随便写的。BCrypt的cost factor每1计算耗时翻倍。我实测过在课设常用的学生笔记本上cost10时单次加密约50mscost12时约200ms而cost14已超800ms会影响用户体验。所以12是教学场景下的黄金值——既保证安全强度相当于2^12次迭代又不至于让登录按钮点击后出现明显卡顿。最后也是最关键的一点BCrypt的验证逻辑天然防时序攻击。它的matches()方法会严格比对整个字符串长度不会因为前几个字符匹配就提前返回避免了通过响应时间差异推测密码的可能。这点在课设答辩中很少被问到但恰恰是区分“照着抄代码”和“真正理解安全”的分水岭。3. 核心模块解析与实操要点从数据库建表到登录拦截的完整闭环3.1 数据库初始化不只是执行SQL更要理解初始化顺序项目里没有用Flyway或Liquibase这类数据库迁移工具而是采用最朴素的方式在src/main/resources下放一个schema.sql文件内容就是前面提到的CREATE TABLE user语句。但这背后有严格的执行逻辑。SpringBoot默认会在启动时自动执行schema.sql如果存在但前提是spring.sql.init.mode配置为always或embedded。我在application.yml里明确写了spring: sql: init: mode: always schema-locations: classpath:schema.sql这里有个极易踩坑的点schema.sql只负责建表不负责插初始数据。很多学生会把测试账号如admin/123456直接写死在schema.sql里这是错误的。正确的做法是另建一个data.sql文件里面写INSERT INTO user (username, password, email) VALUES (admin, $2a$12$..., adminexample.com);。因为SpringBoot的执行顺序是先执行schema.sql建表再执行data.sql插数据。如果混在一起当表不存在时INSERT会直接报错导致启动失败。我在指导学生时强调schema.sql对应数据库的“骨架”data.sql对应“血肉”二者职责必须分离。另外data.sql里的密码必须是BCrypt加密后的密文不能写明文。我提供了一个小工具类BCryptUtil.java学生只需运行BCryptUtil.encode(123456)就能得到密文避免了去网上找在线加密工具的安全风险。3.2 MyBatis分层实现Mapper、Service、Controller的职责铁律整个后端代码严格遵循三层架构但每一层的代码量和职责边界都经过教学优化。以登录功能为例Mapper层UserMapper.java只做一件事——定义SQL操作的接口。它不包含任何逻辑连Select(SELECT * FROM user WHERE username #{username})这样的注解式SQL都不写而是全部放在UserMapper.xml里。为什么因为XML方式能清晰展示SQL的完整形态学生可以直观看到if testusername ! nullAND username #{username}/if这样的动态SQL是如何工作的这是理解MyBatis核心机制的必经之路。Mapper接口的方法命名也刻意标准化selectByUsername、updateLastLoginTimeById动词名词的组合一眼看出意图。Service层UserService.java这里是业务逻辑的“主战场”。登录方法login(String username, String rawPassword)的实现逻辑是1. 调用userMapper.selectByUsername(username)查用户2. 如果用户不存在抛出自定义异常UserNotFoundException3. 调用passwordEncoder.matches(rawPassword, user.getPassword())校验密码4. 如果校验失败抛出BadCredentialsException5. 如果成功调用userMapper.updateLastLoginTimeById(user.getId())更新最后登录时间6. 返回用户DTO对象。看到没所有数据库操作查、更都委托给Mapper所有密码校验都委托给PasswordEncoderService层只做“编排”不做“实现”。这就是教学想传递的核心思想高内聚、低耦合不是口号而是通过代码职责划分来落地的。Controller层AuthController.java它只做三件事接收HTTP请求参数、调用Service方法、封装HTTP响应。登录接口长这样PostMapping(/api/login) public ResponseEntityMapString, Object login(RequestBody LoginRequest request) { try { UserDTO user userService.login(request.getUsername(), request.getPassword()); // 生成并设置Session httpServletRequest.getSession().setAttribute(currentUser, user); return ResponseEntity.ok(Map.of(code, 200, message, 登录成功, data, user)); } catch (UserNotFoundException | BadCredentialsException e) { return ResponseEntity.status(401).body(Map.of(code, 401, message, e.getMessage())); } }注意两点第一它用RequestBody接收JSON强制学生理解前后端数据格式第二它把用户对象存入HttpSession而不是返回Token因为Session是Servlet规范中最基础的状态管理机制学生必须先掌握它才能理解JWT等高级方案。3.3 前端交互的关键细节表单验证不是锦上添花而是教学刚需前端HTML文件login.html看起来平淡无奇但里面的JavaScript逻辑全是教学重点。比如用户名输入框的实时验证input typetext idusername nameusername required minlength3 maxlength20 div idusername-error classerror-message/div对应的JS监听逻辑document.getElementById(username).addEventListener(input, function() { const username this.value.trim(); const errorDiv document.getElementById(username-error); if (username.length 3) { errorDiv.textContent 用户名至少3位; this.setCustomValidity(too-short); } else if (!/^[a-zA-Z0-9_]$/.test(username)) { errorDiv.textContent 只能包含字母、数字、下划线; this.setCustomValidity(invalid-format); } else { errorDiv.textContent ; this.setCustomValidity(); } });这段代码的教学价值在于它展示了客户端验证的双重作用——既提升用户体验实时反馈又作为服务端验证的“前置过滤器”减少无效请求。但更重要的是它引出了一个关键讨论为什么前端验证不能替代后端验证我在课堂上会让学生故意删掉JS代码然后用Postman直接发一个{username:scriptalert(1)/script,password:123}的请求观察后端是否还能拦截。答案是肯定的因为Service层的userService.login()方法会对username做StringUtils.hasText()校验并抛出异常。这让学生深刻理解前端是“友好提示”后端是“最终防线”二者缺一不可。4. 实操过程详解从零开始导入、运行、调试的完整记录4.1 环境准备为什么只要求JDK 8和MySQL 5.7项目文档明确要求JDK 8u202和MySQL 5.7这个版本选择不是随意的。JDK 8是SpringBoot 2.x的官方基线版本它的Lambda表达式和Stream API已经足够支撑教学案例又避开了JDK 11的模块化系统带来的额外复杂度。MySQL 5.7则是因为它原生支持utf8mb4字符集和CURRENT_TIMESTAMP的默认值语法这两点在user表定义中至关重要。安装过程我建议学生用Docker一条命令搞定docker run -d --name mysql-db -p 3306:3306 -e MYSQL_ROOT_PASSWORDroot -e MYSQL_DATABASEuserdb -v /mydata/mysql:/var/lib/mysql -d mysql:5.7这里特意挂载了宿主机目录/mydata/mysql是为了让学生理解“数据库文件实际存储在哪里”而不是把它当成黑盒。启动后用Navicat或MySQL Workbench连接localhost:3306用户名root密码root数据库名userdb就能看到空的user表了。如果学生用的是Windows推荐使用MySQL Installer勾选“Developer Default”即可避免手动配置my.ini的繁琐。4.2 IDEA导入与Maven配置pom.xml里的每一行都是知识点将项目根目录含pom.xml拖入IntelliJ IDEA后IDE会自动识别为Maven项目。此时需要检查pom.xml的几个关键节点parent groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-parent/artifactId version2.7.18/version !-- SpringBoot 2.x的最后一个维护版 -- relativePath/ /parent2.7.18这个版本号很重要它是SpringBoot 2.x系列的终版意味着所有依赖版本都已锁定不会出现“明明教程说能用我这边却报错”的情况。接着看依赖部分dependencies dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-web/artifactId /dependency dependency groupIdorg.mybatis.spring.boot/groupId artifactIdmybatis-spring-boot-starter/artifactId version2.3.1/version /dependency dependency groupIdmysql/groupId artifactIdmysql-connector-java/artifactId scoperuntime/scope /dependency dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-validation/artifactId /dependency /dependencies这里要解释scoperuntime/scope的含义mysql-connector-java只在运行时需要编译时不需要所以标记为runtime这是Maven依赖范围的最佳实践。而spring-boot-starter-validation引入了Hibernate Validator它让实体类可以用NotBlank、Email等注解做参数校验这正是LoginRequest.java里NotBlank(message用户名不能为空)生效的基础。学生如果删掉这个依赖启动时不会报错但表单提交空用户名时后端也不会返回400错误而是直接进入Service层——这就失去了参数校验的教学意义。4.3 启动与调试第一个断点应该打在哪里点击IDEA右上角的绿色三角形启动项目控制台输出Tomcat started on port(s): 8080即表示成功。此时在浏览器访问http://localhost:8080/login.html就能看到登录页面。但真正的学习才刚开始。我要求学生做的第一件事是在AuthController.login()方法的第一行打个断点然后用浏览器提交登录表单。当程序停住时观察Debug窗口里的变量request对象展开看username和password字段的值确认前端传过来的数据是否符合预期httpServletRequest.getSession()展开看attributes里有没有currentUser如果没有说明Session还没创建调用栈Call Stack从DispatcherServlet.doDispatch()一路往下看到请求是如何经过HandlerMapping、HandlerAdapter最终落到我们的login()方法上的。这个过程能让学生建立起对SpringMVC请求处理流程的具象认知。比看十页文档都管用。另一个关键调试点是UserService.login()里的密码校验行if (!passwordEncoder.matches(rawPassword, user.getPassword())) { throw new BadCredentialsException(密码错误); }在这里打断点把rawPassword明文和user.getPassword()密文都打印出来亲眼看到BCrypt是如何把123456变成$2a$12$...这样的乱码的。这种“眼见为实”的体验是任何理论讲解都无法替代的。5. 常见问题与排查技巧实录那些年我们踩过的坑5.1 “404 Not Found”问题速查表这是学生遇到最多的问题几乎占所有咨询的70%。根本原因永远只有一个静态资源路径没配对。SpringBoot默认从src/main/resources/static和src/main/resources/templates加载静态文件而本项目把login.html放在了src/main/resources/static下。但如果学生不小心把文件放到了src/main/webapp这是老式Servlet容器的路径或者放到了src/main/java下就会404。排查步骤如下在IDEA中确认login.html文件的实际路径是src/main/resources/static/login.html启动项目后在浏览器访问http://localhost:8080/login.html同时打开IDEA的Run窗口查看是否有类似Mapped {[/login.html], methods[GET]}的日志——如果有说明SpringBoot已经扫描到了这个文件如果没有检查application.yml里是否误加了spring.web.servlet.static-path-pattern/static/**这会把默认路径/改成/static/导致必须访问http://localhost:8080/static/login.html才行。提示SpringBoot 2.x的静态资源默认路径是/**不要随意修改。如果非要改记得同步调整前端JS里的API请求地址比如把fetch(/api/login)改成fetch(/static/api/login)否则会出现跨域或404。5.2 “Access denied for user”数据库连接失败的三大元凶MySQL连接失败错误信息通常是Access denied for user rootlocalhost。这不是密码错了而是权限问题。三大常见原因及解决方案原因表现解决方案root用户密码不对Docker启动时指定了MYSQL_ROOT_PASSWORDroot但本地MySQL用的是其他密码进入MySQL容器docker exec -it mysql-db mysql -uroot -proot然后执行ALTER USER root% IDENTIFIED WITH mysql_native_password BY root;用户没有远程访问权限本地MySQL安装后默认只允许rootlocalhost而SpringBoot连接时用的是root127.0.0.1执行CREATE USER root127.0.0.1 IDENTIFIED BY root; GRANT ALL PRIVILEGES ON *.* TO root127.0.0.1; FLUSH PRIVILEGES;MySQL服务没启动控制台报Connection refusedWindows下检查服务列表macOS/Linux下执行brew services list \| grep mysql或systemctl status mysql注意在application.yml里配置数据库连接时url必须写成jdbc:mysql://localhost:3306/userdb?useSSLfalseserverTimezoneAsia/Shanghai其中useSSLfalse是必须的否则MySQL 5.7会因SSL握手失败而拒绝连接serverTimezoneAsia/Shanghai则解决时区问题避免created_time存成UTC时间。5.3 登录成功但Session不持久HttpSession的隐藏陷阱学生常问“为什么登录后跳转到/profile.html页面显示‘请先登录’” 这通常是因为Session没有正确传递。根本原因有两个前端没带Cookie浏览器默认会在同域请求中自动携带Cookie但如果是用Postman测试必须手动勾选“Send cookies with requests”后端Session配置问题SpringBoot默认的Session超时是30分钟但有些学生为了“测试方便”在application.yml里加了server.servlet.session.timeout11秒结果刚登录完Session就过期了。最可靠的验证方法是登录成功后在浏览器开发者工具F12的Application → Cookies里查看localhost域名下是否有JSESSIONID这个Cookie。如果有说明Session创建成功如果没有说明httpServletRequest.getSession()那一行根本没执行要回去检查Controller里的逻辑。5.4 密码校验始终失败BCrypt的“盐值”迷思这是最让学生抓狂的问题。现象是数据库里存的密码是$2a$12$...开头的密文但passwordEncoder.matches()总是返回false。原因只有一个前后端使用的BCrypt实现不一致。比如学生用Python的bcrypt库生成密文但SpringBoot用的是BCryptPasswordEncoder两者虽然都叫BCrypt但Python库默认用的是2b版本而SpringBoot 2.x用的是2a。解决方案是统一用SpringBoot生成运行BCryptUtil.encode(123456)把输出结果复制到data.sql里。另外BCryptPasswordEncoder的构造参数12必须和加密时用的cost factor一致否则匹配失败。实操心得我让学生养成习惯每次修改密码逻辑后先写一个单元测试java Test void testPasswordMatch() { String raw 123456; String encoded passwordEncoder.encode(raw); assertTrue(passwordEncoder.matches(raw, encoded)); // 必须通过 }这个测试用例要放在UserServiceTest.java里和业务代码一起提交。这是工程化思维的第一步。6. 教学扩展与进阶建议如何把这个课设做出深度6.1 从“能跑”到“能讲”课设报告的加分项一个优秀的数据库课设报告绝不能只写“我实现了登录功能”。我给学生的建议是在报告里加入三个深度分析章节ER图与关系模式转换分析手绘user表的ER图标注实体、属性、主键、外键虽然本项目没外键但可以讨论“如果增加角色表该如何设计外键”然后写出关系模式User(username, password, email, created_time, last_login_time)并说明每个属性的域Domain和约束如username的域是长度3-20的字符串password的域是BCrypt密文字符串。SQL语句性能分析针对SELECT * FROM user WHERE username ?这条查询解释为什么需要在username字段上建唯一索引。可以附上EXPLAIN SELECT的执行计划截图指出type: const和key: username意味着走了索引而如果去掉索引type: ALL就是全表扫描。安全加固方案对比在基础版用BCrypt的基础上讨论两种进阶方案一是增加登录失败次数限制用Redis缓存失败次数二是用JWT替代Session分析无状态优势和Token存储风险。不需要实现但要写出方案优缺点表格。6.2 从“单表”到“多表”一个自然的课设升级路径很多学生做完登录系统后问我“接下来还能做什么” 我推荐一个平滑的升级路径在现有项目基础上增加“用户头像上传”功能。这会自然引出三个新知识点新增avatar_url字段到user表并修改User实体类和Mapper XML前端增加input typefile控件用FormData对象上传图片后端用MultipartFile接收文件保存到服务器/static/uploads/目录并把相对路径存入数据库。这个改动工作量不大半天就能完成但覆盖了数据库设计新增字段、前端交互文件上传、后端处理文件IO、安全性文件类型校验四大模块是检验学生综合能力的绝佳试金石。而且头像功能做完后profile.html页面就能显示真实图片了学生的成就感会直线飙升。6.3 从“本地”到“部署”用Docker Compose一键启停的生产思维最后一步是把课设从“本地玩具”变成“可演示系统”。我教学生用Docker Compose编排整个环境# docker-compose.yml version: 3.8 services: mysql: image: mysql:5.7 environment: MYSQL_ROOT_PASSWORD: root MYSQL_DATABASE: userdb ports: - 3306:3306 volumes: - ./mysql-data:/var/lib/mysql app: build: . ports: - 8080:8080 environment: SPRING_PROFILES_ACTIVE: prod depends_on: - mysql然后写一个DockerfileFROM openjdk:8-jdk-slim VOLUME /tmp ARG JAR_FILEtarget/*.jar COPY ${JAR_FILE} app.jar ENTRYPOINT [java,-Djava.security.egdfile:/dev/./urandom,-jar,/app.jar]执行docker-compose up --build两秒钟后http://localhost:8080/login.html就能访问了。这个过程让学生第一次体会到软件交付不是拷贝一个jar包而是交付一个可复现的环境。这也是数据库课设走向工程化的最后一公里。我在实际教学中发现当学生能独立完成Docker部署后他们对整个Web应用生命周期的理解会从“写代码-跑起来”跃升到“设计-开发-测试-部署-运维”的完整闭环。而这正是高校数据库课程设计最该达成的教学目标。本文还有配套的精品资源点击获取简介面向高校数据库或Java Web课程设计的教学实践项目完整实现用户注册、登录、密码加密校验、会话保持及个人信息展示功能。前端基于原生HTMLCSSJavaScript开发具备表单实时验证、错误提示和基础响应式适配后端采用SpringBoot 2.x构建集成MyBatis访问MySQL数据库完成用户信息CRUD、登录状态管理Session、BCrypt密码加密与登录拦截逻辑。项目结构规范包含标准Maven配置pom.xml、分层清晰的src/main源码目录controller/service/mapper/entity、.gitignore版本控制配置、LICENSE开源协议文件及详细README.md说明文档开箱即用支持本地IDE导入后一键启动适合数据库原理、SpringBoot入门、Web全栈实训等教学场景直接复用。本文还有配套的精品资源点击获取
高校数据库课设用的SpringBoot+MySQL用户登录系统（含前后端可运行源码）
本文还有配套的精品资源点击获取简介面向高校数据库或Java Web课程设计的教学实践项目完整实现用户注册、登录、密码加密校验、会话保持及个人信息展示功能。前端基于原生HTMLCSSJavaScript开发具备表单实时验证、错误提示和基础响应式适配后端采用SpringBoot 2.x构建集成MyBatis访问MySQL数据库完成用户信息CRUD、登录状态管理Session、BCrypt密码加密与登录拦截逻辑。项目结构规范包含标准Maven配置pom.xml、分层清晰的src/main源码目录controller/service/mapper/entity、.gitignore版本控制配置、LICENSE开源协议文件及详细README.md说明文档开箱即用支持本地IDE导入后一键启动适合数据库原理、SpringBoot入门、Web全栈实训等教学场景直接复用。1. 项目概述为什么这个登录系统特别适合数据库课设高校数据库课程设计最怕什么不是写不出ER图也不是画不好关系模式而是——做出来的东西“不像个系统”。学生交上来一份纯SQL脚本或者一个只有增删改查的控制台程序老师一眼就看出这没走通Web应用的完整链路。而真正能体现数据库设计能力、SQL编写功底、前后端协作意识和工程规范意识的恰恰是一个“小而全”的用户登录系统。它不追求高并发、不堆炫酷UI但必须把数据建模→表结构实现→SQL编写→接口暴露→前端调用→状态管理→安全校验这条主线一环不落地跑通。我带过七届数据库课设每年都会给学生推荐这个SpringBootMySQL登录系统模板原因很简单它把教学目标拆解成了可执行、可验证、可评分的具体动作。这个项目的核心关键词是“用户登录系统”、“MySQL课程设计”、“SpringBoot实战”三者缺一不可。它不是教你怎么用Spring Security做企业级鉴权而是聚焦在数据库课设最该考察的底层能力上你能不能根据业务需求注册、登录、展示个人信息反向推导出合理的用户表结构你写的INSERT语句有没有考虑唯一约束和非空校验你用MyBatis写的SELECT是否用了参数化防止SQL注入你的密码存储是不是真的用了BCrypt而不是明文或简单MD5这些细节才是数据库原理课该考的真本事。项目前端用原生HTMLCSSJavaScript刻意避开Vue/React等框架就是为了让学生把注意力拉回到HTTP请求、表单提交、Session生命周期这些Web基础概念上而不是被框架语法绕晕。后端用SpringBoot 2.x非最新3.x是因为它的自动配置机制足够清晰学生能看懂application.yml里每一行的作用也能在Controller里直观看到RequestMapping如何映射URL而不是被函数式路由或响应式编程搞懵。整个项目打包下来不到20MBIDEA导入后点一下绿色三角就能跑起来没有环境配置地狱没有依赖冲突报错学生能把时间花在理解逻辑上而不是折腾环境上。我自己试过在一台i5-8250U8G内存的旧笔记本上从解压到浏览器看到登录页全程不超过3分钟。这才是教学级项目的正确打开方式。2. 整体架构与设计思路为什么这样分层而不是用JSP或Thymeleaf2.1 前后端分离的底层教学逻辑很多同学第一反应是“老师为啥不用JSP直接在后端渲染页面那样不是更简单” 这是个好问题也恰恰暴露了对Web开发本质的理解偏差。JSP的本质是服务端模板引擎它把HTML生成逻辑和Java业务逻辑耦合在一起学生很容易写出“在JSP里写SQL”或者“在Servlet里拼接HTML字符串”的反模式代码。而这个项目坚持用纯静态前端HTMLJS通过Ajax调用后端RESTful接口其教学价值在于强制学生建立两个关键认知第一浏览器只认HTTP协议它不管后端用什么语言写的第二数据和视图必须分离数据库里的user表字段要通过JSON格式在前后端之间传递而不是靠服务端直接塞进HTML标签里。我在课设答辩时会专门问学生“当你在JS里写fetch(/api/login, {method: POST, body: JSON.stringify(data)})时这个/api/login对应的后端方法它的返回值类型是什么为什么不能是String而必须是ResponseEntityMapString, Object” 答不上来的基本就是没搞懂前后端交互的契约本质。2.2 数据库设计一张user表背后的三个设计决策别小看那张user表它其实是整个课设的“题眼”。项目里定义的表结构是CREATE TABLE user ( id bigint NOT NULL AUTO_INCREMENT, username varchar(50) NOT NULL UNIQUE COMMENT 用户名唯一, password varchar(100) NOT NULL COMMENT BCrypt加密后的密码, email varchar(100) DEFAULT NULL COMMENT 邮箱可为空, created_time datetime DEFAULT CURRENT_TIMESTAMP COMMENT 创建时间, last_login_time datetime DEFAULT NULL COMMENT 最后登录时间, PRIMARY KEY (id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COLLATEutf8mb4_0900_ai_ci;这张表藏着三个必须讲透的设计点。第一为什么username加了UNIQUE约束而没给email加因为业务规则明确要求“用户名唯一用于登录”但邮箱只是辅助联系信息允许重复比如学生用不同邮箱注册多个账号。第二为什么password字段长度设为100BCrypt加密后的密文固定长度是60个字符留40个余量是为未来升级算法预留空间这是数据库设计中“向前兼容性”的典型实践。第三为什么有两个时间戳字段且默认值策略不同created_time用CURRENT_TIMESTAMP确保插入时自动生成而last_login_time允许为NULL因为新用户从未登录过这个字段要在登录成功后由UPDATE语句显式更新。我在批改课设报告时如果看到学生写的建表语句里password是VARCHAR(32)明显按MD5长度写的或者last_login_time也设了DEFAULT CURRENT_TIMESTAMP就会直接扣分——这不是技术错误而是对业务语义理解的缺失。2.3 安全校验的轻量级实现为什么选BCrypt而不是MD5或SHA256密码安全是数据库课设最容易被忽略的雷区。我见过太多学生把密码明文存数据库或者用DigestUtils.md5DigestAsHex()简单哈希。这种做法在教学场景下是零分项。本项目采用Spring Security Crypto模块的BCryptPasswordEncoder核心原因有三首先BCrypt是自适应慢哈希算法它内置了盐值salt和计算轮数cost factor每次加密结果都不同彻底杜绝彩虹表攻击其次SpringBoot的集成极其干净一行配置就能搞定Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(12); // cost factor12平衡安全与性能 }这里的12不是随便写的。BCrypt的cost factor每1计算耗时翻倍。我实测过在课设常用的学生笔记本上cost10时单次加密约50mscost12时约200ms而cost14已超800ms会影响用户体验。所以12是教学场景下的黄金值——既保证安全强度相当于2^12次迭代又不至于让登录按钮点击后出现明显卡顿。最后也是最关键的一点BCrypt的验证逻辑天然防时序攻击。它的matches()方法会严格比对整个字符串长度不会因为前几个字符匹配就提前返回避免了通过响应时间差异推测密码的可能。这点在课设答辩中很少被问到但恰恰是区分“照着抄代码”和“真正理解安全”的分水岭。3. 核心模块解析与实操要点从数据库建表到登录拦截的完整闭环3.1 数据库初始化不只是执行SQL更要理解初始化顺序项目里没有用Flyway或Liquibase这类数据库迁移工具而是采用最朴素的方式在src/main/resources下放一个schema.sql文件内容就是前面提到的CREATE TABLE user语句。但这背后有严格的执行逻辑。SpringBoot默认会在启动时自动执行schema.sql如果存在但前提是spring.sql.init.mode配置为always或embedded。我在application.yml里明确写了spring: sql: init: mode: always schema-locations: classpath:schema.sql这里有个极易踩坑的点schema.sql只负责建表不负责插初始数据。很多学生会把测试账号如admin/123456直接写死在schema.sql里这是错误的。正确的做法是另建一个data.sql文件里面写INSERT INTO user (username, password, email) VALUES (admin, $2a$12$..., adminexample.com);。因为SpringBoot的执行顺序是先执行schema.sql建表再执行data.sql插数据。如果混在一起当表不存在时INSERT会直接报错导致启动失败。我在指导学生时强调schema.sql对应数据库的“骨架”data.sql对应“血肉”二者职责必须分离。另外data.sql里的密码必须是BCrypt加密后的密文不能写明文。我提供了一个小工具类BCryptUtil.java学生只需运行BCryptUtil.encode(123456)就能得到密文避免了去网上找在线加密工具的安全风险。3.2 MyBatis分层实现Mapper、Service、Controller的职责铁律整个后端代码严格遵循三层架构但每一层的代码量和职责边界都经过教学优化。以登录功能为例Mapper层UserMapper.java只做一件事——定义SQL操作的接口。它不包含任何逻辑连Select(SELECT * FROM user WHERE username #{username})这样的注解式SQL都不写而是全部放在UserMapper.xml里。为什么因为XML方式能清晰展示SQL的完整形态学生可以直观看到if testusername ! nullAND username #{username}/if这样的动态SQL是如何工作的这是理解MyBatis核心机制的必经之路。Mapper接口的方法命名也刻意标准化selectByUsername、updateLastLoginTimeById动词名词的组合一眼看出意图。Service层UserService.java这里是业务逻辑的“主战场”。登录方法login(String username, String rawPassword)的实现逻辑是1. 调用userMapper.selectByUsername(username)查用户2. 如果用户不存在抛出自定义异常UserNotFoundException3. 调用passwordEncoder.matches(rawPassword, user.getPassword())校验密码4. 如果校验失败抛出BadCredentialsException5. 如果成功调用userMapper.updateLastLoginTimeById(user.getId())更新最后登录时间6. 返回用户DTO对象。看到没所有数据库操作查、更都委托给Mapper所有密码校验都委托给PasswordEncoderService层只做“编排”不做“实现”。这就是教学想传递的核心思想高内聚、低耦合不是口号而是通过代码职责划分来落地的。Controller层AuthController.java它只做三件事接收HTTP请求参数、调用Service方法、封装HTTP响应。登录接口长这样PostMapping(/api/login) public ResponseEntityMapString, Object login(RequestBody LoginRequest request) { try { UserDTO user userService.login(request.getUsername(), request.getPassword()); // 生成并设置Session httpServletRequest.getSession().setAttribute(currentUser, user); return ResponseEntity.ok(Map.of(code, 200, message, 登录成功, data, user)); } catch (UserNotFoundException | BadCredentialsException e) { return ResponseEntity.status(401).body(Map.of(code, 401, message, e.getMessage())); } }注意两点第一它用RequestBody接收JSON强制学生理解前后端数据格式第二它把用户对象存入HttpSession而不是返回Token因为Session是Servlet规范中最基础的状态管理机制学生必须先掌握它才能理解JWT等高级方案。3.3 前端交互的关键细节表单验证不是锦上添花而是教学刚需前端HTML文件login.html看起来平淡无奇但里面的JavaScript逻辑全是教学重点。比如用户名输入框的实时验证input typetext idusername nameusername required minlength3 maxlength20 div idusername-error classerror-message/div对应的JS监听逻辑document.getElementById(username).addEventListener(input, function() { const username this.value.trim(); const errorDiv document.getElementById(username-error); if (username.length 3) { errorDiv.textContent 用户名至少3位; this.setCustomValidity(too-short); } else if (!/^[a-zA-Z0-9_]$/.test(username)) { errorDiv.textContent 只能包含字母、数字、下划线; this.setCustomValidity(invalid-format); } else { errorDiv.textContent ; this.setCustomValidity(); } });这段代码的教学价值在于它展示了客户端验证的双重作用——既提升用户体验实时反馈又作为服务端验证的“前置过滤器”减少无效请求。但更重要的是它引出了一个关键讨论为什么前端验证不能替代后端验证我在课堂上会让学生故意删掉JS代码然后用Postman直接发一个{username:scriptalert(1)/script,password:123}的请求观察后端是否还能拦截。答案是肯定的因为Service层的userService.login()方法会对username做StringUtils.hasText()校验并抛出异常。这让学生深刻理解前端是“友好提示”后端是“最终防线”二者缺一不可。4. 实操过程详解从零开始导入、运行、调试的完整记录4.1 环境准备为什么只要求JDK 8和MySQL 5.7项目文档明确要求JDK 8u202和MySQL 5.7这个版本选择不是随意的。JDK 8是SpringBoot 2.x的官方基线版本它的Lambda表达式和Stream API已经足够支撑教学案例又避开了JDK 11的模块化系统带来的额外复杂度。MySQL 5.7则是因为它原生支持utf8mb4字符集和CURRENT_TIMESTAMP的默认值语法这两点在user表定义中至关重要。安装过程我建议学生用Docker一条命令搞定docker run -d --name mysql-db -p 3306:3306 -e MYSQL_ROOT_PASSWORDroot -e MYSQL_DATABASEuserdb -v /mydata/mysql:/var/lib/mysql -d mysql:5.7这里特意挂载了宿主机目录/mydata/mysql是为了让学生理解“数据库文件实际存储在哪里”而不是把它当成黑盒。启动后用Navicat或MySQL Workbench连接localhost:3306用户名root密码root数据库名userdb就能看到空的user表了。如果学生用的是Windows推荐使用MySQL Installer勾选“Developer Default”即可避免手动配置my.ini的繁琐。4.2 IDEA导入与Maven配置pom.xml里的每一行都是知识点将项目根目录含pom.xml拖入IntelliJ IDEA后IDE会自动识别为Maven项目。此时需要检查pom.xml的几个关键节点parent groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-parent/artifactId version2.7.18/version !-- SpringBoot 2.x的最后一个维护版 -- relativePath/ /parent2.7.18这个版本号很重要它是SpringBoot 2.x系列的终版意味着所有依赖版本都已锁定不会出现“明明教程说能用我这边却报错”的情况。接着看依赖部分dependencies dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-web/artifactId /dependency dependency groupIdorg.mybatis.spring.boot/groupId artifactIdmybatis-spring-boot-starter/artifactId version2.3.1/version /dependency dependency groupIdmysql/groupId artifactIdmysql-connector-java/artifactId scoperuntime/scope /dependency dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-validation/artifactId /dependency /dependencies这里要解释scoperuntime/scope的含义mysql-connector-java只在运行时需要编译时不需要所以标记为runtime这是Maven依赖范围的最佳实践。而spring-boot-starter-validation引入了Hibernate Validator它让实体类可以用NotBlank、Email等注解做参数校验这正是LoginRequest.java里NotBlank(message用户名不能为空)生效的基础。学生如果删掉这个依赖启动时不会报错但表单提交空用户名时后端也不会返回400错误而是直接进入Service层——这就失去了参数校验的教学意义。4.3 启动与调试第一个断点应该打在哪里点击IDEA右上角的绿色三角形启动项目控制台输出Tomcat started on port(s): 8080即表示成功。此时在浏览器访问http://localhost:8080/login.html就能看到登录页面。但真正的学习才刚开始。我要求学生做的第一件事是在AuthController.login()方法的第一行打个断点然后用浏览器提交登录表单。当程序停住时观察Debug窗口里的变量request对象展开看username和password字段的值确认前端传过来的数据是否符合预期httpServletRequest.getSession()展开看attributes里有没有currentUser如果没有说明Session还没创建调用栈Call Stack从DispatcherServlet.doDispatch()一路往下看到请求是如何经过HandlerMapping、HandlerAdapter最终落到我们的login()方法上的。这个过程能让学生建立起对SpringMVC请求处理流程的具象认知。比看十页文档都管用。另一个关键调试点是UserService.login()里的密码校验行if (!passwordEncoder.matches(rawPassword, user.getPassword())) { throw new BadCredentialsException(密码错误); }在这里打断点把rawPassword明文和user.getPassword()密文都打印出来亲眼看到BCrypt是如何把123456变成$2a$12$...这样的乱码的。这种“眼见为实”的体验是任何理论讲解都无法替代的。5. 常见问题与排查技巧实录那些年我们踩过的坑5.1 “404 Not Found”问题速查表这是学生遇到最多的问题几乎占所有咨询的70%。根本原因永远只有一个静态资源路径没配对。SpringBoot默认从src/main/resources/static和src/main/resources/templates加载静态文件而本项目把login.html放在了src/main/resources/static下。但如果学生不小心把文件放到了src/main/webapp这是老式Servlet容器的路径或者放到了src/main/java下就会404。排查步骤如下在IDEA中确认login.html文件的实际路径是src/main/resources/static/login.html启动项目后在浏览器访问http://localhost:8080/login.html同时打开IDEA的Run窗口查看是否有类似Mapped {[/login.html], methods[GET]}的日志——如果有说明SpringBoot已经扫描到了这个文件如果没有检查application.yml里是否误加了spring.web.servlet.static-path-pattern/static/**这会把默认路径/改成/static/导致必须访问http://localhost:8080/static/login.html才行。提示SpringBoot 2.x的静态资源默认路径是/**不要随意修改。如果非要改记得同步调整前端JS里的API请求地址比如把fetch(/api/login)改成fetch(/static/api/login)否则会出现跨域或404。5.2 “Access denied for user”数据库连接失败的三大元凶MySQL连接失败错误信息通常是Access denied for user rootlocalhost。这不是密码错了而是权限问题。三大常见原因及解决方案原因表现解决方案root用户密码不对Docker启动时指定了MYSQL_ROOT_PASSWORDroot但本地MySQL用的是其他密码进入MySQL容器docker exec -it mysql-db mysql -uroot -proot然后执行ALTER USER root% IDENTIFIED WITH mysql_native_password BY root;用户没有远程访问权限本地MySQL安装后默认只允许rootlocalhost而SpringBoot连接时用的是root127.0.0.1执行CREATE USER root127.0.0.1 IDENTIFIED BY root; GRANT ALL PRIVILEGES ON *.* TO root127.0.0.1; FLUSH PRIVILEGES;MySQL服务没启动控制台报Connection refusedWindows下检查服务列表macOS/Linux下执行brew services list \| grep mysql或systemctl status mysql注意在application.yml里配置数据库连接时url必须写成jdbc:mysql://localhost:3306/userdb?useSSLfalseserverTimezoneAsia/Shanghai其中useSSLfalse是必须的否则MySQL 5.7会因SSL握手失败而拒绝连接serverTimezoneAsia/Shanghai则解决时区问题避免created_time存成UTC时间。5.3 登录成功但Session不持久HttpSession的隐藏陷阱学生常问“为什么登录后跳转到/profile.html页面显示‘请先登录’” 这通常是因为Session没有正确传递。根本原因有两个前端没带Cookie浏览器默认会在同域请求中自动携带Cookie但如果是用Postman测试必须手动勾选“Send cookies with requests”后端Session配置问题SpringBoot默认的Session超时是30分钟但有些学生为了“测试方便”在application.yml里加了server.servlet.session.timeout11秒结果刚登录完Session就过期了。最可靠的验证方法是登录成功后在浏览器开发者工具F12的Application → Cookies里查看localhost域名下是否有JSESSIONID这个Cookie。如果有说明Session创建成功如果没有说明httpServletRequest.getSession()那一行根本没执行要回去检查Controller里的逻辑。5.4 密码校验始终失败BCrypt的“盐值”迷思这是最让学生抓狂的问题。现象是数据库里存的密码是$2a$12$...开头的密文但passwordEncoder.matches()总是返回false。原因只有一个前后端使用的BCrypt实现不一致。比如学生用Python的bcrypt库生成密文但SpringBoot用的是BCryptPasswordEncoder两者虽然都叫BCrypt但Python库默认用的是2b版本而SpringBoot 2.x用的是2a。解决方案是统一用SpringBoot生成运行BCryptUtil.encode(123456)把输出结果复制到data.sql里。另外BCryptPasswordEncoder的构造参数12必须和加密时用的cost factor一致否则匹配失败。实操心得我让学生养成习惯每次修改密码逻辑后先写一个单元测试java Test void testPasswordMatch() { String raw 123456; String encoded passwordEncoder.encode(raw); assertTrue(passwordEncoder.matches(raw, encoded)); // 必须通过 }这个测试用例要放在UserServiceTest.java里和业务代码一起提交。这是工程化思维的第一步。6. 教学扩展与进阶建议如何把这个课设做出深度6.1 从“能跑”到“能讲”课设报告的加分项一个优秀的数据库课设报告绝不能只写“我实现了登录功能”。我给学生的建议是在报告里加入三个深度分析章节ER图与关系模式转换分析手绘user表的ER图标注实体、属性、主键、外键虽然本项目没外键但可以讨论“如果增加角色表该如何设计外键”然后写出关系模式User(username, password, email, created_time, last_login_time)并说明每个属性的域Domain和约束如username的域是长度3-20的字符串password的域是BCrypt密文字符串。SQL语句性能分析针对SELECT * FROM user WHERE username ?这条查询解释为什么需要在username字段上建唯一索引。可以附上EXPLAIN SELECT的执行计划截图指出type: const和key: username意味着走了索引而如果去掉索引type: ALL就是全表扫描。安全加固方案对比在基础版用BCrypt的基础上讨论两种进阶方案一是增加登录失败次数限制用Redis缓存失败次数二是用JWT替代Session分析无状态优势和Token存储风险。不需要实现但要写出方案优缺点表格。6.2 从“单表”到“多表”一个自然的课设升级路径很多学生做完登录系统后问我“接下来还能做什么” 我推荐一个平滑的升级路径在现有项目基础上增加“用户头像上传”功能。这会自然引出三个新知识点新增avatar_url字段到user表并修改User实体类和Mapper XML前端增加input typefile控件用FormData对象上传图片后端用MultipartFile接收文件保存到服务器/static/uploads/目录并把相对路径存入数据库。这个改动工作量不大半天就能完成但覆盖了数据库设计新增字段、前端交互文件上传、后端处理文件IO、安全性文件类型校验四大模块是检验学生综合能力的绝佳试金石。而且头像功能做完后profile.html页面就能显示真实图片了学生的成就感会直线飙升。6.3 从“本地”到“部署”用Docker Compose一键启停的生产思维最后一步是把课设从“本地玩具”变成“可演示系统”。我教学生用Docker Compose编排整个环境# docker-compose.yml version: 3.8 services: mysql: image: mysql:5.7 environment: MYSQL_ROOT_PASSWORD: root MYSQL_DATABASE: userdb ports: - 3306:3306 volumes: - ./mysql-data:/var/lib/mysql app: build: . ports: - 8080:8080 environment: SPRING_PROFILES_ACTIVE: prod depends_on: - mysql然后写一个DockerfileFROM openjdk:8-jdk-slim VOLUME /tmp ARG JAR_FILEtarget/*.jar COPY ${JAR_FILE} app.jar ENTRYPOINT [java,-Djava.security.egdfile:/dev/./urandom,-jar,/app.jar]执行docker-compose up --build两秒钟后http://localhost:8080/login.html就能访问了。这个过程让学生第一次体会到软件交付不是拷贝一个jar包而是交付一个可复现的环境。这也是数据库课设走向工程化的最后一公里。我在实际教学中发现当学生能独立完成Docker部署后他们对整个Web应用生命周期的理解会从“写代码-跑起来”跃升到“设计-开发-测试-部署-运维”的完整闭环。而这正是高校数据库课程设计最该达成的教学目标。本文还有配套的精品资源点击获取简介面向高校数据库或Java Web课程设计的教学实践项目完整实现用户注册、登录、密码加密校验、会话保持及个人信息展示功能。前端基于原生HTMLCSSJavaScript开发具备表单实时验证、错误提示和基础响应式适配后端采用SpringBoot 2.x构建集成MyBatis访问MySQL数据库完成用户信息CRUD、登录状态管理Session、BCrypt密码加密与登录拦截逻辑。项目结构规范包含标准Maven配置pom.xml、分层清晰的src/main源码目录controller/service/mapper/entity、.gitignore版本控制配置、LICENSE开源协议文件及详细README.md说明文档开箱即用支持本地IDE导入后一键启动适合数据库原理、SpringBoot入门、Web全栈实训等教学场景直接复用。本文还有配套的精品资源点击获取
