企业官网建设流程全解析

简介：围绕中州养老系统展开的 PDF 文档，面向正在准备求职面试、需要梳理项目经历与优化简历的技术人，尤其适合 Java 后端及全栈方向求职者参考，帮助解决项目介绍缺少主线、简历项目描述空泛的问题。压缩包内共 1 个 PDF 文件，约 130KB，篇幅精炼，便于快速浏览和按需摘取。已有 543 人学习。内容以养老管理系统的真实业务为样例，覆盖项目概述、整体业务流程和技术栈说明，以及微信小程序登录与参观预约、后台 RBAC 权限控制、Spring Security 认证授权、JWT 与 Redis 配合、Xxl-job 定时任务等模块；同时拆解需求分析、数据库设计、接口文档与测试优化过程，并给出简历项目描述示例、个人职责和成果写法。读者可据此学习如何把技术选型、模块设计、个人贡献和项目成果组织成面试中可展开讲述、简历中可清晰呈现的内容。

1. 三分钟项目陈述：面试官先判定你会不会“讲证据”

求职面试里，项目陈述最常见的错觉是把功能讲全就能拿分。面试官真正听的是证据链：这个项目服务谁、你负责哪一段、关键链路的每一步为什么这么设计、出问题你从哪里查。简历项目写得再热闹，只要追问问到“登录凭证怎么换成本地用户”“JWT 为什么还要 UUID”“五表权限怎么落到一次 403 排查”，答不上来就会被打回。拿分骨架是背景一句、目标一句、职责一段、难点一条、异常一问；先证明你做过，再证明你懂。适合正在改简历、准备项目追问的人。

2. 简历里的项目：四个改写点把“参与”变成可追问的钩子

2.1 项目背景只留一句：业务闭环比功能清单更值钱

简历里的项目背景最容易写成行业报告，尤其是养老、医疗、教育这类业务，一开口就是大段趋势判断。面试官并不缺背景知识，他缺的是判断你有没有站在业务闭环上写代码。背景段只回答三件事：谁在用、系统管到哪一步、你负责的模块在闭环里的位置。比如“某养老管理系统面向养老院日常管理场景，覆盖来访参观预约、入住退住、在住服务、账单缴纳到退住办理的闭环”，这一句就够面试官顺着问“预约之后怎么转入住”“退住时账单怎么结”。

项目描述里原本列了来访管理、入退管理、在住管理、服务管理、财务管理，小程序端又有参观预约、老人绑定、账单缴纳、服务下单。简历上不要把这些功能逐个铺开，而是先写闭环，再写你碰过的节点。你负责小程序登录、参观预约、权限分配、护理项目，就把这四个节点挂到闭环上：登录解决“谁进来”，预约解决“怎么到店”，权限解决“谁能操作”，护理项目解决“在住期间怎么下单”。这样写的好处是，面试官追问时你能顺着业务走，不会只背模块名。

面试题常见问法是：“你这个项目解决什么问题？”答题思路不要从技术栈开头，用四句话：第一句说使用角色，第二句说原来的管理痛点，第三句说系统闭环，第四句说你的模块在闭环中的位置。比如“养老院原来靠表格登记来访和入住信息，预约、入住、服务下单、账单之间容易断档；系统把参观预约到退住办理串成一条流程；我负责小程序登录、参观预约和后台权限分配，保证用户能进来、预约能流转、操作能控权。”这个答法比“用了 Spring Boot 和 Redis”更像做过项目的人。

简历句式可以压成一行：“项目背景：面向养老院日常管理场景，完成参观预约、入退住、在住服务、账单缴纳到退住办理的闭环，本人负责小程序登录、参观预约、RBAC 权限分配与护理项目模块。”这里没有夸张数字，也没有虚构上线规模，但每个词都能被追问。面试官听到“闭环”会问流程，听到“RBAC”会问表结构，听到“护理项目”会问服务下单和状态，这些都在你的准备范围内。

2.2 技术栈别堆名词：每一项后面挂一个你解决过的问题

技术栈写成“Spring Boot、Spring MVC、Spring Security、Spring Cache、Redis、MySQL、Swagger、OSS、Xxl-job”不算错，但面试官不会因为名词多给分，他会挑一个问“你在哪里用了”。简历上的技术栈最好做成“技术 + 场景 + 结果”的短句，至少让你自己看到每个名词都能想起一段代码。下面这张对比表可以直接拿来改简历。

面试题经常从技术栈里挑一个问：“你项目中 Redis 用来做什么？”答题不要只说“缓存热点信息”，要按“场景—键结构—过期—异常”四步走。场景是登录会话索引，键结构是login:uuid:{uuid}，值是 JWT，过期时间跟续期阈值配合；异常情况是 Redis 里取不到就返回 403，让前端重新登录。下面这段键结构示例可以在复习时帮助记忆。

# Redis 中保存登录会话索引的键结构示例 SET login:uuid:{uuid} "{jwtToken}" EX 1800 # uuid 由服务端生成，作为 JWT 的唯一会话标识 # EX 1800 表示 30 分钟过期，实际按续期阈值调整

这段示例里的uuid不是前端随便传的，而是登录成功后服务端生成并返回给前端的；jwtToken是签名后的凭证；EX 1800是过期时间，面试时要补一句“低于阈值会续期，不是死等过期”。参数说明不用背数字，关键是说清楚键的含义和过期策略。如果面试官继续问“为什么不用本地缓存”，你就答“会话索引要支持多实例共享和主动失效，Redis 更合适；本地缓存只适合变化少、容忍不一致的数据”。

技术栈的另一个坑是“用了但讲不出边界”。比如写了 Spring Cache，面试官问“缓存穿透怎么办”，你至少要知道项目里缓存的是什么查询、键怎么设计、失效时怎么回源。写了 OSS，面试官问“图片上传失败怎么排查”，你要能说前端直传还是后端中转、返回的文件标识怎么存。简历上的每个名词都是一张追问券，发出去之前先自己兑一遍。

2.3 职责描述用“动作+模块+结果”三件套

“负责微信小程序登录、权限分配、参观预约、护理项目等模块的开发与设计”这句话问题不大，但太像岗位说明书。面试官想知道的是你具体动了哪块、用了什么方案、最后能验证什么。改写时用“动作 + 模块 + 技术点 + 可验证结果”四件套，不要写“参与”“协助”这种模糊词，除非你确实只做了配合，那就写清楚配合的边界。

例如原来的“负责微信小程序登录”可以改成：“负责小程序登录链路：平台登录凭证校验、openid 落库、手机号变更更新、JWT+UUID 签发与 Redis 会话索引。”原来的“负责权限分配”可以改成：“基于 RBAC 五表完成用户、角色、资源分配，配合 Spring Security 过滤器实现认证后的资源校验。”原来的“参观预约”可以改成：“实现参观预约提交与过期状态流转，选用 Xxl-job 轮询调度，按状态条件更新避免重复修改。”这些句子没有编造数据，但每个动作都能被追问。

面试题：“你负责哪一块，怎么证明是你做的？”答题思路分四步：先说模块边界，再说关键动作，再说可验证产出，最后说协作接口。比如“我负责小程序登录和后台权限分配。登录这块我处理了平台凭证换 openid、本地用户新增或手机号更新、JWT 与 UUID 签发、Redis 会话索引；权限这块我落了五张表，配合过滤器做资源校验。可验证的产出是登录接口能返回 token、后续请求能带 token 访问、无权限资源返回 403。协作接口上，前端拿 token 和 UUID，后台管理端按角色配置资源。”这样答，面试官能判断你不是只写了页面。

职责描述里不要把所有模块都写成“我主导”。你写“配合测试人员进行测试和性能调优”，面试官可能问“你调了什么”。如果你只做了接口联调和问题定位，就答“我配合定位了登录失败、403、预约状态不更新这几类问题，具体动作是看请求头、Redis 键、JWT 解析结果和任务执行日志”。如实说边界反而加分，因为面试官最怕的是简历上全是“主导”，一问细节就空。

2.4 结果与数字：没有指标就写可验证范围

项目结果最容易被写虚：“提升管理效率 30%”“用户满意度大幅提升”。没有真实统计就不要写。可以写可验证的范围：完成了五表权限模型、三种任务调度模式的选型、token 续期阈值策略、Swagger 接口文档覆盖、小程序登录与后台权限的联调。范围不是业绩，但能证明你交付了什么。面试官问“项目上线了吗，用户多少”，如果项目是模拟项目或课程项目，就如实说“这是模拟项目，没有真实用户量，我重点准备的是链路和异常排查”。不要为了显得真实去编造上线规模和公司背景。

面试题：“你这个项目最大的难点是什么？”答题不要选“功能多”，选一个有决策点的：JWT 无状态但需要主动失效，所以加 UUID 做服务端会话索引；预约过期状态用定时任务轮询，考虑业务容忍分钟级延迟和实现成本；RBAC 五表多对多，查询时要先拿角色再拿资源。每个难点都按“问题—方案—代价—验证”答。比如“JWT 本身不可撤销，用户退出或后登录优先不好处理；我加 UUID 作为 Redis 会话索引，代价是多一次 Redis 查询，验证点是旧 UUID 取不到 token 时返回 403。”

简历项目不是越长越好，一页里给项目留出的空间要够面试官抓钩子。背景一句、技术栈问题式一行、职责四到五条、难点一条、结果范围一句，足够。剩下的细节放在面试表达里，不要全塞进简历。简历负责让面试官想追问，面试负责把追问接住。

3. 高频考点：小程序登录与 JWT+UUID 链路，答漏一步就露馅

3.1 登录链路七步：从平台凭证到本地用户落库

小程序登录是项目题里最容易问细的链路。很多回答停在“前端调登录，后端返回 token”，面试官会继续问“平台凭证换了什么”“新用户怎么落库”“手机号变了怎么办”“token 存哪里”。把链路拆成七步，答起来就不会漏：前端获取平台登录凭证和手机号校验码；后端拿凭证换取平台侧身份标识 openid；拿手机号凭证换取手机号；按 openid 查本地用户，没有就新增，有就判断手机号是否变化并更新；生成 UUID 和 JWT；把 UUID 作为键、JWT 作为值写入 Redis；返回 token 和 UUID 给前端，后续请求携带。

面试题：“描述一下你的小程序登录流程。”答题模板可以按七步说，但不要背成流水账，每步带一句目的。比如“第一步拿平台登录凭证，目的是换 openid；第二步拿手机号凭证，目的是绑定手机号；第三步按 openid 查本地用户，解决新老用户分流；第四步生成 UUID 和 JWT，解决凭证签发；第五步写 Redis，解决服务端会话索引；第六步返回前端，后续请求带 token。”下面用一段 Java 伪代码把关键分支固定下来。

// 小程序登录接口伪代码：只保留链路关键字段 public LoginResult login(String platformLoginCode, String phoneCode) { // 1. 用平台登录凭证换取平台侧身份标识 PlatformUser platformUser = platformClient.exchange(platformLoginCode); // 2. 用手机号凭证换取手机号，失败则返回参数错误 String phone = platformClient.getPhone(phoneCode); // 3. 按 openid 查本地用户，无则新增，有则判断手机号是否变化 User user = userMapper.findByOpenid(platformUser.getOpenid()); if (user == null) { user = userService.create(platformUser.getOpenid(), phone); } else if (!phone.equals(user.getPhone())) { userService.updatePhone(user.getId(), phone); } // 4. 生成 UUID 与 JWT，UUID 作为服务端会话索引写入 Redis String uuid = UUID.randomUUID().toString(); String jwt = jwtService.sign(user.getId(), uuid); redisTemplate.opsForValue().set("login:uuid:" + uuid, jwt, Duration.ofMinutes(30)); // 5. 返回前端，后续请求携带 token 与 uuid return new LoginResult(jwt, uuid); }

这段代码里，platformLoginCode和phoneCode都是一次性凭证，不能当作用户标识长期保存；openid是平台侧唯一标识，用来查本地用户；uuid由服务端生成，不能由前端传入；Redis 的过期时间要跟续期阈值配合。面试官如果问“手机号获取失败怎么办”，答“参数错误返回，不生成 token，避免无手机号用户落库”。如果问“openid 已存在但手机号变了怎么办”，答“更新手机号，不重复建用户，保证一个平台身份对应一条本地用户记录”。

这里还有一个容易被忽略的点：JWT 里放什么。一般放用户标识、UUID、签发时间、过期时间，不要把角色资源全塞进去，因为角色一变 token 里的权限就旧了。面试官问“权限变更后旧 token 还能用吗”，你可以答“资源校验每次走 Redis 会话索引和数据库/缓存里的资源集合，token 只做身份凭证，不作为权限快照”。这样答，链路就闭环了。

3.2 JWT+UUID 为什么组合：唯一性、重放攻击与续期阈值

JWT 的优点是自包含、验签快，缺点是签发后不能主动撤销。项目里加 UUID 不是为了好看，而是补上服务端会话管理：UUID 作为 Redis 键，JWT 作为值，前端后续请求同时带 JWT 和 UUID；后端先拿 UUID 查 Redis，再解析 JWT，再比对 UUID 是否一致。这样做的效果是，用户退出、后登录优先、管理员踢下线，都可以通过删除或覆盖 Redis 键完成。面试官问“JWT 已经无状态了，为什么还要 Redis”，标准答法是从安全和管理两个角度说，不要只说“存 token”。

面试题：“JWT 为什么还要 UUID？”答题思路分三层：第一层，UUID 保证每次登录的会话唯一，避免同一个用户多端登录时 token 混淆；第二层，UUID 存在 Redis，可以作为服务端会话索引，支持主动失效和后登录优先；第三层，UUID 参与 JWT 签名或作为声明，能降低重放攻击风险，因为攻击者只拿到 JWT 没有对应 UUID 也过不了服务端校验。注意不要把“防止重放”说成绝对安全，准确说法是“提高重放成本，配合过期和会话索引做控制”。

面试题：“token 快过期了怎么续期？”答题思路：请求进入过滤器后，先取 UUID 和 Redis 中的 JWT，解析成功后看剩余存活时间，低于阈值就延长 Redis 键的过期时间，并视方案决定是否重新签发 JWT。阈值不要拍脑袋，按业务会话时长和接口耗时定，比如剩余 5 分钟以内续期到 30 分钟。面试官可能追问“续期时旧 token 还能用吗”，答“在 Redis 键被覆盖前按旧值校验，覆盖后旧 UUID 取不到就失效；如果要求严格，可以记录版本号或让前端换新 token”。

下面这段过滤器伪代码把 403 的触发点串起来。

// 授权过滤器伪代码：先取 UUID，再取 Redis 中的 JWT，最后校验资源 String uuid = request.getHeader("X-Login-Id"); if (uuid == null || uuid.isBlank()) { response.setStatus(403); return; } String cachedJwt = redisTemplate.opsForValue().get("login:uuid:" + uuid); if (cachedJwt == null) { response.setStatus(403); return; } Claims claims = jwtService.parse(cachedJwt); // 解析失败直接 403 if (!uuid.equals(claims.get("uuid", String.class))) { response.setStatus(403); return; } if (jwtService.remainSeconds(cachedJwt) < 300) { // 低于阈值续期 redisTemplate.expire("login:uuid:" + uuid, Duration.ofMinutes(30)); } if (!permissionService.hasResource(claims.getSubject(), request.getRequestURI())) { response.setStatus(403); return; } chain.doFilter(request, response);

参数说明：X-Login-Id是前端携带的 UUID 请求头；login:uuid:{uuid}是 Redis 会话键；remainSeconds返回 JWT 剩余秒数；300是续期阈值示例，实际按项目配置；hasResource判断用户是否拥有当前请求资源。逻辑说明：UUID 为空、Redis 取不到、JWT 解析失败、UUID 比对不一致、资源不匹配，都会返回 403。面试时把这五个 403 触发点说全，面试官会认为你真的排查过。

3.3 认证与授权分开答：AuthenticationManager 与 UserDetailsService 各自干什么

Spring Security 的题最怕混着答。认证解决“你是谁”，授权解决“你能干什么”。认证阶段，AuthenticationManager负责认证管理器入口，UserDetailsService负责按用户名加载用户、角色、资源，密码校验通过后生成认证信息。项目里在这之后生成 UUID 和 JWT，写入 Redis，返回前端。授权阶段，过滤器拦截请求，取 UUID、取 Redis 中的 JWT、解析、比对 UUID、续期、判断资源，最后放行或 403。面试官问“认证和授权的区别”，不要背概念，用这条链路答。

面试题：“Spring Security 的认证流程说一下。”答题模板：请求带用户名密码到认证接口；AuthenticationManager调UserDetailsService加载用户；拿到用户、角色、资源后做密码校验；校验通过生成 UUID 和 JWT，写 Redis；返回 token 和 UUID。面试官追问“UserDetailsService 返回什么”，答“返回安全框架需要的用户详情，里面包含用户标识、密码、角色和资源列表；资源列表用于后续授权判断”。再追问“密码错了返回什么”，答“认证失败，不签发 token，返回统一错误码，避免暴露用户是否存在”。

面试题：“认证通过了，为什么访问接口还 403？”答题思路按授权链路排查：请求头有没有 UUID；Redis 里有没有对应 JWT；JWT 能不能解析；JWT 里的 UUID 和请求头是否一致；token 是否过期且未续期；用户是否拥有当前资源。面试时不要一上来就说“权限没配”，先按链路分段，面试官会觉得你有排查顺序。可以补一句“如果是后登录优先场景，旧 UUID 被覆盖后旧会话访问也会 403，这是预期行为，不是 bug”。

这一章的核心不是背名词，而是能把登录、签发、存储、校验、续期、403 串成一条线。线串住了，简历上的“负责登录模块”才站得住。

4. 高频考点：RBAC 五表与定时任务，业务题要落到表和状态

4.1 RBAC 五表：多对多关系怎么在面试里画清楚

权限题高频问法是“你的权限模型怎么设计”。项目里用 RBAC，五张表：用户表、角色表、资源表、用户角色关联表、角色资源关联表。用户和角色多对多，角色和资源多对多，两个关联表维护关系。面试时不要只报表名，要讲清查询路径：按用户查角色，按角色查资源，资源对应 URL 或操作标识，授权时判断当前请求资源是否在用户资源集合里。下面用简化 SQL 把关系固定住。

-- 五表权限模型的核心关系，字段只保留面试需要讲清的部分 CREATE TABLE sys_user ( id BIGINT PRIMARY KEY, username VARCHAR(64), password VARCHAR(128) ); CREATE TABLE sys_role ( id BIGINT PRIMARY KEY, role_name VARCHAR(64) ); CREATE TABLE sys_resource ( id BIGINT PRIMARY KEY, resource_name VARCHAR(64), url VARCHAR(255) ); CREATE TABLE sys_user_role ( user_id BIGINT, role_id BIGINT, PRIMARY KEY (user_id, role_id) ); CREATE TABLE sys_role_resource ( role_id BIGINT, resource_id BIGINT, PRIMARY KEY (role_id, resource_id) );

这段 SQL 的关键在两张关联表：sys_user_role维护用户和角色的多对多，sys_role_resource维护角色和资源的多对多。面试官问“为什么不让用户直接绑资源”，答“用户直接绑资源会导致授权重复、角色无法复用、调整权限要逐个用户改；角色作为中间层，先把资源分配给角色，再把角色分配给用户，管理成本低”。再问“一个用户多个角色怎么办”，答“查资源时按用户查全部角色，再按角色查资源并去重，鉴权时判断资源是否在集合里”。

面试题：“权限模型怎么落地到一次接口访问？”答题思路：请求带 token 和 UUID；认证通过后拿到用户标识；按用户标识查角色和资源，可以走缓存；过滤器判断当前请求 URL 是否在资源集合；有则放行，无则 403。面试官可能追问“资源表里存什么”，答“存菜单、按钮、接口 URL 或操作标识，按项目粒度定；不能只存菜单，否则接口级鉴权会漏”。再追问“超级管理员怎么办”，答“可以在资源判断前做角色短路，但要注意审计和边界，不能把短路写成所有请求都放行”。

4.2 Spring Security 授权过滤器：403 出现时怎么排查

403 是权限项目的必问题。面试官不是要你背状态码，而是看你有没有排查顺序。可以按请求进入过滤器的顺序列一张排查表。

面试题：“用户已经登录了，访问接口还是 403，怎么查？”答题时按表从上往下说，不要跳步。先看请求头，再看 Redis，再看 JWT 解析，再看 UUID 比对，再看续期，最后看资源。每步给一个判断依据，比如“Redis 里取不到，说明会话索引没了，可能是过期或被后登录覆盖；JWT 解析失败，说明签名或格式有问题；UUID 不一致，说明旧会话在访问”。这样答，面试官能看出你有线上排查思维。

这里有一个容易翻车的点：把 401 和 403 混着说。认证失败通常走 401，认证通过但无权限走 403。项目里如果统一返回 403，面试时要说明“当前项目统一用 403 表示未认证或无权限，前端按业务码区分”。不要硬说 403 就是没登录，容易被追问。

4.3 Xxl-job 定时任务：参观预约过期状态为什么选轮询

参观预约模块的业务点是：用户预约参观，过了预约时间还没处理，状态要从已预约改成已过期。项目选 Xxl-job 做定时调度，三种模式要能说清：轮询是依次触发执行器；分片广播是一次调度广播到集群所有执行器；故障转移是某个执行器故障后把任务转移到可用执行器。项目里用轮询处理过期预约，因为业务容忍分钟级延迟，轮询实现简单、可观测、好补跑。面试官问“为什么不用延迟队列”，不要否定延迟队列，答“延迟队列适合精确到秒、量大且单条延迟的任务；当前业务量级和容忍度用定时轮询更稳，排查也直接，后续量级上来再考虑延迟队列或分片”。

面试题：“定时任务怎么保证不重复修改？”答题思路：查询只取已预约且预约时间早于当前时间的记录；更新语句带状态条件，比如where id = ? and status = 'RESERVED'；任务本身可重入，重复执行不会把已过期改成别的状态；记录执行日志，失败可重试。下面是一段任务处理器伪代码。

// Xxl-job 任务处理器伪代码：轮询处理过期预约，按状态条件更新保证幂等 @XxlJob("expireVisitReservationHandler") public void expireVisitReservation() { // 每次只取一批已预约且预约时间早于当前时间的记录 List<Long> ids = reservationMapper.selectExpiredIds(200); for (Long id : ids) { // update ... where id = ? and status = 'RESERVED' // 状态条件保证重复执行不会改错数据 reservationMapper.markExpired(id); } }

参数说明：expireVisitReservationHandler是任务处理器名称；200是单批处理数量，避免一次拉太多；selectExpiredIds的查询条件包含状态和预约时间；markExpired的更新条件带原状态。逻辑说明：任务只做“已预约到已过期”的状态迁移，重复执行时第二次更新条件不满足，不会产生副作用。面试官追问“任务失败了怎么办”，答“看 Xxl-job 执行日志和失败重试配置，先确认是查询条件、数据库连接还是单条数据异常；批量任务要能按批次补跑，更新条件保证补跑安全”。

面试题：“三种调度模式怎么选？”答题模板：单机或简单批量用轮询；集群每个节点都要处理全量或按分片处理用分片广播；执行器不稳定、需要故障转移时用故障转移。再补一句“选型看业务容忍度、数据量、执行器部署方式，不是模式越复杂越好”。这样答，面试官会认为你理解调度框架，而不是背功能列表。

5. 易错点：五类失分点与当场补救答法

5.1 简历与项目陈述的三类失分

失分点一：把项目背景写成行业报告。错在哪：一上来写大段趋势和宏观背景，面试官听了三十秒还不知道你做了什么。为什么错：简历不是行业分析，面试官要找的是职责边界和技术决策。怎么答对：背景压成一句“某养老管理系统覆盖参观预约到退住办理的闭环，本人负责小程序登录、参观预约、RBAC 权限分配与护理项目”，把省下的篇幅留给链路和异常。

失分点二：技术栈列了一堆，追问一句就断。错在哪：写了 Redis、Xxl-job、Spring Cache，但说不出具体场景、键结构、调度模式、失效边界。为什么错：名词是追问券，发出去就要能兑。怎么答对：每个技术名词后面挂一个“场景 + 动作 + 结果”，比如“Redis 保存 UUID+JWT 会话索引，支持后登录优先与续期；Xxl-job 轮询处理预约过期状态，按状态条件更新保证幂等”。答不出结果就删掉这个词，别硬撑。

失分点三：职责写成“参与”“协助”，没有可验证动作。错在哪：简历上写“参与登录模块开发”，面试官问“你具体改了哪行逻辑”就卡住。为什么错：参与不是职责，动作才是。怎么答对：用“动作 + 模块 + 技术点 + 可验证产出”改写，比如“负责小程序登录链路：平台凭证换 openid、本地用户新增或手机号更新、JWT+UUID 签发、Redis 会话索引；可验证产出是登录返回 token、后续请求可携带访问、无权限返回 403”。

5.2 技术链路的两类失分

失分点四：登录鉴权链路漏掉“服务端会话索引”。错在哪：只说 JWT 签发和解析，不提 UUID 和 Redis，被问“用户退出怎么让 token 失效”就答不上来。为什么错：JWT 自包含但不可撤销，没有服务端索引就无法主动踢下线。怎么答对：按“JWT 做身份凭证，UUID 做会话索引，Redis 存映射，过滤器先查 Redis 再解析 JWT，UUID 比对不一致返回 403，剩余时间低于阈值续期”完整说一遍，并补一句“后登录优先就是覆盖同一个用户的会话索引”。

失分点五：RBAC 只背五表，不会说查询与鉴权。错在哪：能报出用户、角色、资源、两张关联表，但问“一次请求怎么判断有没有权限”就只会说“查角色”。为什么错：表结构是静态的，面试官要听动态鉴权路径。怎么答对：按“用户查角色、角色查资源、资源匹配请求 URL、过滤器放行或 403”说，再补“资源粒度可以是菜单、按钮或接口，项目里按接口 URL 做校验；多角色资源要去重”。如果还能说清 403 排查顺序，这题就稳了。

失分点六：定时任务只背三种模式，不答业务幂等。错在哪：轮询、分片广播、故障转移背得很顺，问“重复执行会不会把数据改错”就停住。为什么错：调度模式是框架知识，业务幂等才是项目经验。怎么答对：说清查询条件、更新条件、批次大小、失败补跑，比如“只查已预约且预约时间早于当前时间的记录，更新带原状态条件，重复执行不会二次修改；任务失败看执行日志并按批次补跑”。这比背三种模式更能拿分。

6. 答题技巧：把项目题押在“决策—链路—异常”三段式上

项目题不需要准备几十个答案，准备三张卡就够。第一张是决策卡：为什么这么选。比如为什么用 JWT+UUID，为什么用 Xxl-job 轮询，为什么 RBAC 要五张表。第二张是链路卡：每一步做什么。比如登录七步、授权过滤器五道 403、预约状态迁移。第三张是异常卡：出问题怎么查。比如 403 排查表、任务失败看什么、Redis 取不到怎么处理。面试官问项目，你先判断他问的是哪张卡，再按“结论—链路—异常”答，不要从技术栈开头。

30 秒项目陈述可以固定成这个模板：“某养老管理系统覆盖参观预约到退住办理的闭环，我负责小程序登录、参观预约、RBAC 权限分配和护理项目。登录用平台凭证换 openid，落本地用户后签发 JWT+UUID，UUID 写 Redis 做会话索引；权限用五表 RBAC，过滤器做资源校验；预约过期用 Xxl-job 轮询，按状态条件更新保证幂等。难点是 JWT 主动失效和 403 排查，我按 UUID、Redis、解析、比对、续期、资源这个顺序定位。”这段没有形容词，但每个点都能被追问，也能自然带到你准备过的链路。

押题思路也很直接：简历上出现的技术名词，每个准备一个“场景 + 参数 + 异常”；项目里出现的业务模块，每个准备一个“状态 + 表 + 失败分支”。登录押 JWT+UUID、openid 落库、手机号变更；权限押五表、认证授权区分、403 排查；预约押 Xxl-job 三种模式、轮询选型、幂等更新；简历押职责边界、技术栈追问、项目结果不造假。面试前不要背漂亮话，背自己写过的证据。

从那以后我每次改项目简历，都强制走一遍“背景一句、链路七步、异常三问”，问自己每个技术名词能不能说出场景和失败分支，说不出来就删。希望帮到你。需要把简历句式、高频追问和易错点整理成可背清单的，资料入口按模块放着，按需取。

本文还有配套的精品资源，点击获取