企业官网建设流程全解析

简介：这份JavaWeb开发实战源码面向希望系统掌握Java Web开发流程的个人学习者，尤其适合正在从基础语法向完整项目实践过渡的初学者，也可作为有经验开发者查漏补缺的参考。资源以webdemo项目为主线，完整呈现MVC分层设计：Model层演示业务逻辑处理与数据库增删改查，View层包含JSP页面、CSS样式与JavaScript交互脚本，Controller层则通过Servlet接收请求并调度视图返回，同时涉及JDBC连接数据库、预编译SQL防注入及输入过滤防XSS等安全实践。压缩包共450个文件，约6.75MB，以288个png与32个gif截图辅助理解，另有22个jsp、18个java、36个class、16个js、11个xml及4个jar等，覆盖页面、逻辑、配置与依赖各环节。目前已有54人学习。通过研读源码，读者可直观理解从页面制作到后端处理再到数据存储的完整链路，掌握分层结构与代码组织方式，并积累可复用的排错与优化思路。

1. 从一堆 .class 文件说起：这套 JavaWeb 源码到底能跑出什么

拿到一个压缩包，解压后看到的不是整齐的src目录，而是一串UserManageDaoImpl.class、UserManageServlet.class、ValidateCodeServlet.class、UserLoginServlet.class、UserLoginFilter.class——每个文件还重复出现了两次。这是很多人第一次接触网络分享版 JavaWeb 实战源码时的真实场景。它对应的是一套典型的 MVC 分层 Web 应用：DAO 层封装数据库增删改查，Servlet 充当控制器接收请求并调度，Filter 做登录拦截，验证码 Servlet 独立生成图形校验码。适合正在学 Servlet/JSP 体系、想找一个能跑通的完整案例来对照理解的人，也适合需要快速搭一个用户管理模块原型的开发者。源码本身不复杂，但把「请求进来之后到底经过了哪些类」这件事讲清楚了，比看十篇理论文章都管用。

2. 反编译与工程还原：把 .class 变回可读的 Java 源码

2.1 为什么拿到的是 .class 而不是 .java

网络分享的 JavaWeb 源码包，很多时候只保留了编译产物。.class是 JVM 加载执行的字节码格式，它保留了类名、方法签名、常量池和大部分逻辑结构，但丢掉了注释、局部变量名和泛型信息。这不代表没法用——反编译工具能把字节码还原成接近原始的 Java 代码，足够读懂业务逻辑和调用链。

常见做法是用 JD-GUI 或 CFR 做反编译。JD-GUI 有图形界面，拖进去就能看；CFR 是命令行工具，对 Java 8 以后的语法支持更好。我一般两个都备着，JD-GUI 快速浏览，CFR 处理复杂类。

# 用 CFR 反编译单个 class 文件，输出到指定目录 java -jar cfr.jar UserManageDaoImpl.class --outputdir ./decompiled # 批量反编译整个目录下的所有 class java -jar cfr.jar ./classes --outputdir ./decompiled --caseinsensitivefs true

--outputdir指定输出路径，--caseinsensitivefs true在 Windows 上避免大小写导致的路径冲突。反编译完成后，你会得到一份.java文件，包名和类名与原始工程一致。

2.2 从反编译结果还原工程结构

反编译出来的文件是散落的，需要按包名放回目录树。假设反编译后看到com/webdemo/dao/UserManageDaoImpl.java，那就在 IDE 里建一个 Maven 或普通 Dynamic Web Project，把包结构照着建出来。

webdemo/ ├── src/ │ └── com/webdemo/ │ ├── dao/ # UserManageDaoImpl 等数据访问类 │ ├── servlet/ # UserManageServlet、UserLoginServlet、ValidateCodeServlet │ ├── filter/ # UserLoginFilter │ └── util/ # 数据库连接工具类（反编译后通常能看到） ├── WebContent/ │ ├── WEB-INF/ │ │ └── web.xml # Servlet 和 Filter 的映射配置 │ ├── css/ │ ├── js/ │ └── *.jsp # 登录页、用户列表页、验证码引用页 └── lib/ # 依赖的 jar 包

如果反编译结果里没有web.xml，需要根据 Servlet 类上的@WebServlet注解或类名推断映射路径。比如UserLoginServlet大概率映射到/userLogin或/login，ValidateCodeServlet映射到/validateCode。这一步是整个还原过程中最需要耐心的地方，映射错了后面请求全部 404。

2.3 补齐依赖与数据库脚本

反编译的代码里会引用 JDBC 驱动、可能还有 JSTL、文件上传等库。看import语句就能列出依赖清单。常见的是mysql-connector-java，版本根据代码里Class.forName的驱动类名判断——com.mysql.jdbc.Driver对应 5.x，com.mysql.cj.jdbc.Driver对应 8.x。

数据库表结构通常能从 DAO 层的 SQL 语句反推。比如UserManageDaoImpl里如果有SELECT * FROM user WHERE username = ?，那至少有一张user表，字段包括username、password，可能还有id、email、create_time。把 SQL 语句里的字段名和占位符整理出来，建表语句就出来了。

-- 根据 DAO 层 SQL 反推的建表语句示例 CREATE TABLE `user` ( `id` INT NOT NULL AUTO_INCREMENT, `username` VARCHAR(50) NOT NULL, `password` VARCHAR(100) NOT NULL, `email` VARCHAR(100) DEFAULT NULL, `create_time` DATETIME DEFAULT CURRENT_TIMESTAMP, PRIMARY KEY (`id`), UNIQUE KEY `uk_username` (`username`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

建表时注意字符集用utf8mb4，避免中文乱码。如果原代码用的是utf8，在 MySQL 8 下可能报错，改成utf8mb4即可。

3. 在 IDEA 里跑起来：Servlet 映射、Filter 拦截与验证码链路

3.1 配置 Tomcat 与项目 Facet

IDEA 里跑 JavaWeb 项目，核心是把 Web 资源目录和编译输出对接上。打开 Project Structure，在 Facets 里添加 Web，指定WebContent或webapp目录为 Web 资源根目录，web.xml路径指向WEB-INF/web.xml。然后在 Artifacts 里添加一个 Web Application: Exploded，把编译输出和 lib 依赖都放进去。

# 如果项目是 Maven 结构，先确保编译通过 mvn clean compile # 检查 target/classes 下是否生成了对应的 class 文件 ls target/classes/com/webdemo/servlet/

Tomcat 配置里，Deployment 选刚才建的 Exploded Artifact，Application context 设为/webdemo或/。启动后访问http://localhost:8080/webdemo/看是否出现登录页。

3.2 登录请求的完整链路

以UserLoginServlet为例，一次登录请求会经过：UserLoginFilter先判断是否放行（登录页和验证码请求不拦截），然后UserLoginServlet读取username、password、validateCode三个参数，先比对验证码，再调用UserManageDaoImpl查库，匹配成功则写 Session 并跳转用户列表，失败则回登录页带错误信息。

// UserLoginServlet 核心逻辑还原（反编译后整理） protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { String username = request.getParameter("username"); String password = request.getParameter("password"); String inputCode = request.getParameter("validateCode"); // 从 Session 取出验证码 Servlet 存入的随机码 String sessionCode = (String) request.getSession().getAttribute("validateCode"); if (inputCode == null || !inputCode.equalsIgnoreCase(sessionCode)) { request.setAttribute("msg", "验证码错误"); request.getRequestDispatcher("/login.jsp").forward(request, response); return; } UserManageDaoImpl dao = new UserManageDaoImpl(); User user = dao.findByUsernameAndPassword(username, password); if (user != null) { request.getSession().setAttribute("currentUser", user); response.sendRedirect(request.getContextPath() + "/userList"); } else { request.setAttribute("msg", "用户名或密码错误"); request.getRequestDispatcher("/login.jsp").forward(request, response); } }

参数说明：validateCode的 Session key 必须和ValidateCodeServlet里setAttribute用的 key 完全一致，大小写敏感。equalsIgnoreCase让验证码不区分大小写，如果原代码用equals，用户输入大写就会失败，这是常见的翻车点。

3.3 Filter 的拦截规则与放行名单

UserLoginFilter通常实现javax.servlet.Filter，在doFilter里判断 Session 中是否有currentUser。没有就重定向到登录页，有就chain.doFilter放行。

// UserLoginFilter 放行逻辑 public void doFilter(ServletRequest req, ServletResponse resp, FilterChain chain) throws IOException, ServletException { HttpServletRequest request = (HttpServletRequest) req; HttpServletResponse response = (HttpServletResponse) resp; String uri = request.getRequestURI(); // 放行登录页、登录请求、验证码、静态资源 if (uri.endsWith("login.jsp") || uri.endsWith("userLogin") || uri.endsWith("validateCode") || uri.contains("/css/") || uri.contains("/js/")) { chain.doFilter(req, resp); return; } Object user = request.getSession().getAttribute("currentUser"); if (user == null) { response.sendRedirect(request.getContextPath() + "/login.jsp"); } else { chain.doFilter(req, resp); } }

放行名单里必须包含验证码 Servlet 的路径，否则登录页加载验证码图片时会被 Filter 拦下来，页面显示裂图，用户根本没法登录。这个坑我踩过不止一次。

3.4 验证码 Servlet 的生成与校验

ValidateCodeServlet负责生成随机字符、画到BufferedImage上、输出到响应流，同时把字符存入 Session。

// ValidateCodeServlet 核心步骤 protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { int width = 100, height = 40; BufferedImage image = new BufferedImage(width, height, BufferedImage.TYPE_INT_RGB); Graphics g = image.getGraphics(); g.setColor(Color.WHITE); g.fillRect(0, 0, width, height); String chars = "ABCDEFGHJKLMNPQRSTUVWXYZ23456789"; StringBuilder code = new StringBuilder(); Random random = new Random(); for (int i = 0; i < 4; i++) { char c = chars.charAt(random.nextInt(chars.length())); code.append(c); g.setColor(new Color(random.nextInt(150), random.nextInt(150), random.nextInt(150))); g.setFont(new Font("Arial", Font.BOLD, 28)); g.drawString(String.valueOf(c), 15 + i * 20, 30); } request.getSession().setAttribute("validateCode", code.toString()); response.setContentType("image/jpeg"); response.setHeader("Pragma", "no-cache"); response.setHeader("Cache-Control", "no-cache"); response.setDateHeader("Expires", 0); ImageIO.write(image, "jpeg", response.getOutputStream()); }

chars去掉了容易混淆的0/O、1/I，这是实战中减少用户输入错误的常见做法。setHeader三行禁用缓存，防止浏览器缓存验证码图片导致刷新无效。Session 的 key 必须和登录 Servlet 里读取的 key 一致。

4. 避坑与排查：还原这套源码时最容易翻车的五个地方

4.1 反编译后中文注释和字符串乱码

现象：反编译出来的.java文件里，中文字符串显示为\uXXXX或乱码。原因：原始 class 文件编译时用的编码和反编译工具默认编码不一致，常见是 GBK 与 UTF-8 冲突。解决：CFR 加--encoding utf-8参数；JD-GUI 在设置里切换编码。如果仍然乱码，用native2ascii或在线工具把\uXXXX转回中文。

4.2 Servlet 映射路径对不上导致 404

现象：Tomcat 启动正常，访问登录页能打开，但提交表单后 404。原因：web.xml里的<url-pattern>和 JSP 表单action不一致，或者反编译后没有web.xml，注解映射路径推断错误。解决：在浏览器开发者工具 Network 面板看请求的实际 URL，对照web.xml或@WebServlet注解逐一核对。常见的是少了项目 context path，表单action应该用${pageContext.request.contextPath}/userLogin。

4.3 数据库驱动版本与连接 URL 不匹配

现象：启动时报ClassNotFoundException: com.mysql.jdbc.Driver或No suitable driver found。原因：MySQL 8 的驱动类名是com.mysql.cj.jdbc.Driver，URL 需要加时区参数；而代码里写的是 5.x 的类名和 URL。解决：换用mysql-connector-java-8.x的 jar，把驱动类名改为com.mysql.cj.jdbc.Driver，URL 改为jdbc:mysql://localhost:3306/webdemo?useSSL=false&serverTimezone=Asia/Shanghai&characterEncoding=utf8。

4.4 Filter 拦截了静态资源导致页面样式丢失

现象：登录后跳转到用户列表页，页面没有 CSS 样式，控制台显示 CSS 文件被重定向到登录页。原因：UserLoginFilter的放行名单没有包含/css/、/js/、/images/等静态资源路径。解决：在 Filter 的放行判断里加上静态资源目录，或者用request.getRequestURI().contains("/static/")统一放行。更稳妥的做法是把静态资源放在 Filter 映射路径之外。

4.5 验证码 Session 取不到值

现象：输入正确验证码仍然提示错误，或者 Session 里validateCode为 null。原因：ValidateCodeServlet和UserLoginServlet用的 Session key 不一致，或者验证码图片请求和登录请求不在同一个 Session（跨域或浏览器禁 Cookie）。解决：全局搜索setAttribute和getAttribute的 key 字符串，确保完全一致。本地开发一般不会跨域，检查浏览器是否禁用了 Cookie。

5. 从能跑到能改：二次开发与代码结构优化技巧

把项目跑起来只是第一步，真正有价值的是能在这个骨架上改出自己的功能。我一般会先做三件事：把 JDBC 连接抽成工具类、把 DAO 的重复代码合并、给 Servlet 加一个 BaseServlet 统一处理编码和路径。

先看 JDBC 工具类的抽取。反编译出来的代码里，每个 DAO 方法可能都写了Class.forName、DriverManager.getConnection、close三件套，改数据库密码要改十几个地方。抽成一个DBUtil类，用静态代码块加载驱动，用ThreadLocal或连接池管理连接。

// DBUtil 简化版：集中管理连接参数 public class DBUtil { private static final String URL = "jdbc:mysql://localhost:3306/webdemo?useSSL=false&serverTimezone=Asia/Shanghai&characterEncoding=utf8"; private static final String USER = "root"; private static final String PASSWORD = "root"; static { try { Class.forName("com.mysql.cj.jdbc.Driver"); } catch (ClassNotFoundException e) { throw new RuntimeException("MySQL 驱动加载失败", e); } } public static Connection getConnection() throws SQLException { return DriverManager.getConnection(URL, USER, PASSWORD); } public static void close(Connection conn, Statement stmt, ResultSet rs) { // 按 rs -> stmt -> conn 顺序关闭，每个都判空 try { if (rs != null) rs.close(); } catch (SQLException ignored) {} try { if (stmt != null) stmt.close(); } catch (SQLException ignored) {} try { if (conn != null) conn.close(); } catch (SQLException ignored) {} } }

参数说明：URL里的serverTimezone必须设，否则 MySQL 8 会报时区错误。close方法按ResultSet→Statement→Connection的顺序关闭，每个都判空，避免空指针。

然后是 BaseServlet 的写法。传统 Servlet 一个类只能处理一个路径，用户管理有增删改查四个操作就要写四个 Servlet。用反射根据请求参数中的method值分发到不同方法，一个 Servlet 就能处理一组操作。

// BaseServlet：根据 method 参数反射调用对应方法 public class BaseServlet extends HttpServlet { @Override protected void service(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { request.setCharacterEncoding("UTF-8"); response.setContentType("text/html;charset=UTF-8"); String methodName = request.getParameter("method"); if (methodName == null || methodName.isEmpty()) { methodName = "index"; } try { Method method = this.getClass().getDeclaredMethod(methodName, HttpServletRequest.class, HttpServletResponse.class); method.setAccessible(true); method.invoke(this, request, response); } catch (NoSuchMethodException e) { response.sendError(404, "方法不存在: " + methodName); } catch (Exception e) { throw new ServletException(e); } } }

这样UserManageServlet继承BaseServlet，里面写list、add、delete、update四个方法，请求时带?method=list就能路由过去。改完之后，原来五个 Servlet 可以合并成两个，代码量少一半，维护起来也清晰。

验证改动是否生效，我习惯用 curl 直接打接口，不经过浏览器，排除前端干扰。

# 先获取验证码，保存 Session Cookie curl -c cookies.txt http://localhost:8080/webdemo/validateCode -o code.jpg # 带 Cookie 提交登录请求 curl -b cookies.txt -d "username=admin&password=123456&validateCode=ABCD" \ http://localhost:8080/webdemo/userLogin -v

-c保存 Cookie，-b携带 Cookie，-v看响应头和重定向路径。如果返回 302 且 Location 指向用户列表，说明登录链路通了。这套流程我每次改完 Filter 或 Servlet 映射都会走一遍，比在浏览器里点来点去快得多。

从那以后我每次拿到只有 class 文件的源码包，都先反编译、再建工程、再用 curl 把核心链路跑通，最后才动代码。希望帮到你。

本文还有配套的精品资源，点击获取