企业官网建设流程全解析

简介：JavaWeb是Java工程师掌握Web开发本质的必经阶段，其核心在于理解HTTP请求处理、Servlet生命周期、JDBC数据库交互与MVC分层设计等基础原理。本系统以真实医院药房业务为驱动，采用原生Servlet 3.1 + JSP + JDBC技术栈，规避Spring Boot自动装配黑盒，聚焦事务手动控制、MD5盐值加密、会话管理、库存并发安全等关键工程实践。它不仅覆盖用户认证、药品入库出库、库存预警、权限隔离等典型功能，更通过极简5表数据库设计和清晰分层结构，帮助学习者建立从需求到代码、从协议到存储的全链路认知。适合JavaWeb实训、毕业设计及Servlet底层原理深化学习。

1. 项目概述：一个真实可跑、能改能扩的JavaWeb医院药品管理系统长什么样？

“javaweb实训-基于javaweb的医院药品管理系统源码+数据库.zip”——这个标题在高校实训课、毕业设计选题库、自学JavaWeb的新人收藏夹里，出现频率高得有点扎眼。但真正打开压缩包、解压、导入IDEA、配好Tomcat、跑起来、点开登录页看到“用户名/密码”框那一刻，很多人就卡住了：页面能加载，但登录失败；数据库连上了，但药品列表空着；后台Controller里一堆@RequestMapping注解，却不知道哪个URL对应哪个功能。这不是代码写得差，而是缺少对系统骨架的全局认知和对业务逻辑链路的穿透式理解。

我带过六届计算机专业实训，每年都会收到至少37份来自不同院校的“医院药品管理系统”作业。其中82%的版本存在共性缺陷：登录校验硬编码、药品库存更新不加事务、入库出库操作没做权限隔离、数据库表设计违反第三范式（比如把供应商电话直接塞进药品表）、前端JSP页面混写Java脚本导致调试困难。而这份标着“源码+数据库”的压缩包，恰恰是少有的、经得起推敲的完整闭环案例——它不是Demo，不是教学演示片段，而是一个具备真实医院药房最小可行业务流的轻量级生产级雏形：从采购员提交入库单、药师审核、库存自动扣减，到医生开处方、药房发药、库存预警阈值触发，再到管理员查看月度消耗报表，全链路可走通。

它的核心价值不在“用了什么技术”，而在“怎么用技术解决真实约束”。比如为什么用JDBC而不是MyBatis？因为实训场景下，学生必须亲手写SQL、处理ResultSet、手动管理Connection生命周期——这是理解ORM底层的前提。为什么数据库用MySQL 5.7而非8.0？因为高校机房普遍部署的是稳定版，且5.7的datetime类型与JavaDate映射更直白，避免初学者被时区问题绊倒。为什么登录页用JSP+Servlet而非Spring Boot？因为这是JavaWeb课程标准要求的“原生栈”训练路径，跳过自动装配，才能看清请求如何从HTTP协议层穿透到DAO层。

如果你正面临JavaWeb实训答辩、毕业设计开题，或想用一个真实项目打通Servlet生命周期、JDBC事务、MVC分层、HTML表单交互这些抽象概念，这份源码就是你的“手术刀”——它不炫技，但每一行都带着业务呼吸感；它不追求高并发，但每个增删改查都经得起事务回滚检验；它甚至保留了两处故意留白的扩展点（比如药品分类树形结构、供应商资质文件上传），等着你动手填上。接下来，我会带你一层层剥开这个ZIP包，不是看代码，而是看业务如何驱动技术选型，约束如何塑造架构决策，以及一个合格的JavaWeb工程师该在哪些节点上多问一句“为什么”。

2. 系统整体设计与技术选型逻辑拆解

2.1 为什么选择“原生JavaWeb栈”而非Spring Boot？

很多初学者看到“JavaWeb”第一反应是Spring Boot，但这份源码坚持使用Servlet 3.1 + JSP + JDBC的组合，背后有明确的教学目标和工程约束：

• 教学穿透性优先：Spring Boot的@RestController自动序列化、@Autowired自动注入、@Transactional声明式事务，对新手而言是黑盒。而原生Servlet中，你需要手动调用request.getParameter("username")获取参数，用HttpSession存用户状态，用connection.setAutoCommit(false)开启事务，用PreparedStatement预编译防SQL注入。这些步骤看似繁琐，实则是理解Web应用本质的必经之路——HTTP请求如何变成Java对象？数据库连接池怎么复用？事务边界在哪划定？这些问题在自动化工具有时反而被掩盖。

• 环境兼容性考量：高校实训机房的Tomcat版本多为7.0或8.0，JDK版本锁定在1.8。Spring Boot 2.x要求JDK 8+，但部分老版本Tomcat对Spring Boot嵌入式容器支持不稳定。而原生Servlet部署包（WAR）在任意Tomcat上零配置即可运行，学生只需双击startup.bat，无需纠结application.properties配置项或pom.xml依赖冲突。

• 资源占用极简：该系统部署后内存占用<120MB，CPU峰值<15%。对比Spring Boot默认启动即加载20+个Bean、初始化HikariCP连接池、扫描所有@Component类，原生栈的轻量性让老旧实训电脑也能流畅调试。我曾用一台i3-2100、4GB内存的台式机跑通全部功能，而同配置下Spring Boot项目常因GC频繁卡死。

提示：这不是反对Spring Boot，而是强调“学习阶段需先见树木，再观森林”。等你亲手写过10个HttpServlet子类、处理过5次SQLException的SQLState码、调试过3次web.xml的<servlet-mapping>路径错误，再拥抱Spring Boot，才能真正理解它省去了什么、又封装了什么。

2.2 数据库设计：为什么用5张表撑起整个药品管理？

打开hospital_drug.sql文件，你会发现只有5张表：user（用户）、drug（药品）、supplier（供应商）、inventory（库存）、record（操作记录）。没有冗余字段，没有过度关联，每张表都直指核心业务：

• user表仅含id、username、password、role（角色：admin/doctor/pharmacist）四字段。刻意省略手机号、邮箱等非必要信息，因为实训重点是权限控制逻辑，而非用户信息完整性。role字段用VARCHAR而非外键关联角色表，降低关联复杂度，让学生专注理解if(role.equals("pharmacist"))这类基础权限判断。

• drug表主键为drug_id，包含name（药品名）、specification（规格）、unit（单位：盒/瓶/支）、price（单价）、category_id（分类ID）。这里category_id未建外键，而是用注释说明“1=西药，2=中药，3=器械”，用业务约定替代数据库约束，避免初学者陷入外键级联删除的困惑。

• inventory表是关键枢纽：drug_id、quantity（当前库存）、min_stock（预警阈值）、last_update_time。库存数量与预警阈值在同一张表，而非拆分为inventory和stock_policy，因为实训场景下，每种药品的预警值都是独立配置的，无需策略复用。last_update_time字段每次库存变更时由Java代码更新，而非数据库触发器——这样学生能清晰看到“何时、何地、因何操作导致时间戳变化”。

• record表记录所有操作：id、operator_id（操作人ID）、operation_type（1=入库，2=出库，3=盘点）、drug_id、quantity_change（变动数量）、remark（备注）、create_time。用quantity_change正负值区分入库/出库，而非设两个字段，既节省空间，又强制学生理解“+50表示入库50盒，-3表示出库3盒”的业务语义。

这种极简设计不是偷懒，而是用最少实体承载最核心流程。当你需要扩展时（如增加药品图片、供应商合同扫描件），新增字段或表的成本极低，且不会破坏现有逻辑。我见过太多学生一上来就设计12张表、8个外键，结果连登录功能都调不通——因为user_role关联表的JOIN条件写错了。

2.3 MVC分层：为什么Controller只做路由，Service层承担全部业务？

源码目录结构清晰：com.hospital.web（Servlet）、com.hospital.service（业务逻辑）、com.hospital.dao（数据访问）、com.hospital.entity（实体类）。这种分层不是教条，而是为了解决三个现实问题：

• 避免Servlet臃肿：LoginServlet中只有5行核心代码：获取参数→调用UserService.login()→根据返回值跳转页面。所有密码加密（MD5盐值）、用户状态校验（是否禁用）、登录失败次数限制，全在UserService里实现。这样当需求变更（如增加短信验证码），只需修改Service层，Servlet保持不变。

• 保障事务一致性：药品入库操作涉及三步：1）插入record表；2）更新inventory.quantity；3）若库存低于预警值，插入alert表（虽未实现，但预留接口）。这三步必须原子执行。源码中DrugService.inStock()方法用Connection手动管理事务：conn.setAutoCommit(false)→执行SQL→conn.commit()或conn.rollback()。如果把这些逻辑写在Servlet里，事务边界极易失控（比如某步异常后忘记rollback，导致库存错乱）。

• 便于单元测试：DrugServiceTest类可直接new出DrugService实例，mock掉DrugDao，专注测试业务规则（如“入库数量不能为负”、“出库数量不能超库存”）。而Servlet依赖HttpServletRequest，测试需启动容器，成本高。实训阶段，学生应先学会给Service写测试用例，再考虑Web层集成测试。

注意：这里的Service层未用Spring的@Service注解，而是纯Java类。目的是让学生亲手体会“依赖注入”的本质——DrugService构造函数接收DrugDao实例，而非通过框架自动装配。当你在DrugService里写下this.drugDao = drugDao;时，才真正理解IoC容器在做什么。

3. 核心模块细节解析与实操要点

3.1 用户认证模块：MD5盐值加密与会话管理

登录功能看似简单，却是安全漏洞高发区。源码中LoginServlet的处理流程值得细究：

// 获取用户名密码 String username = request.getParameter("username"); String password = request.getParameter("password"); // 调用Service验证 User user = userService.login(username, MD5Util.md5(password + "hospital_salt"));

这里MD5Util.md5()不是简单password.getBytes()，而是password + "hospital_salt"拼接后哈希。盐值（salt）硬编码在工具类中，而非数据库字段，原因有二：一是实训场景下，所有用户共用同一盐值已足够抵御彩虹表攻击；二是避免学生为存储盐值额外设计数据库字段，聚焦核心逻辑。实际生产中盐值应为每用户独立随机生成并存库，但此处教学简化合理。

更关键的是会话管理。登录成功后，request.getSession().setAttribute("user", user)将用户对象存入Session。但源码在web.xml中配置了<session-config>：

<session-config> <session-timeout>30</session-timeout> <cookie-config> <http-only>true</http-only> <secure>false</secure> </cookie-config> </session-config>

• session-timeout设为30分钟，符合医院系统常规会话有效期；
• <http-only>true</http-only>禁止JavaScript访问Session Cookie，防御XSS窃取；
• <secure>false</secure>因实训环境多为HTTP，故关闭HTTPS强制要求（生产环境必须设为true）。

实操心得：我在指导学生时发现，83%的登录失败源于web.xml路径配置错误。例如<url-pattern>/login</url-pattern>写成<url-pattern>login</url-pattern>（缺前导斜杠），导致Servlet无法拦截请求。务必检查web.xml中<servlet-mapping>的<url-pattern>是否与表单action属性完全一致。

3.2 药品库存管理：事务控制与并发安全

库存更新是系统核心，源码在DrugService.inStock()中实现：

public boolean inStock(int drugId, int quantity) { Connection conn = null; try { conn = JDBCUtil.getConnection(); conn.setAutoCommit(false); // 关键：关闭自动提交 // 1. 插入操作记录 String recordSql = "INSERT INTO record (operator_id, operation_type, drug_id, quantity_change, remark, create_time) VALUES (?, ?, ?, ?, ?, ?)"; PreparedStatement psRecord = conn.prepareStatement(recordSql); psRecord.setInt(1, operatorId); psRecord.setInt(2, 1); // 入库 psRecord.setInt(3, drugId); psRecord.setInt(4, quantity); psRecord.setString(5, "系统自动入库"); psRecord.setTimestamp(6, new Timestamp(System.currentTimeMillis())); psRecord.executeUpdate(); // 2. 更新库存 String updateSql = "UPDATE inventory SET quantity = quantity + ?, last_update_time = ? WHERE drug_id = ?"; PreparedStatement psUpdate = conn.prepareStatement(updateSql); psUpdate.setInt(1, quantity); psUpdate.setTimestamp(2, new Timestamp(System.currentTimeMillis())); psUpdate.setInt(3, drugId); int rows = psUpdate.executeUpdate(); if (rows == 0) { throw new SQLException("药品ID不存在"); } conn.commit(); // 所有操作成功，提交事务 return true; } catch (SQLException e) { if (conn != null) { try { conn.rollback(); // 任一环节失败，回滚 } catch (SQLException rollbackEx) { rollbackEx.printStackTrace(); } } e.printStackTrace(); return false; } finally { JDBCUtil.close(conn); } }

这段代码体现了三个关键设计：

• 显式事务控制：setAutoCommit(false)→commit()/rollback()，确保记录插入与库存更新要么全成功，要么全失败；
• 参数化SQL防注入：所有用户输入（如quantity）均用?占位符，杜绝' OR '1'='1类攻击；
• 空值防护：if (rows == 0)检查UPDATE影响行数，避免因drug_id不存在导致库存未更新却无报错。

但这里有个隐藏陷阱：未处理并发库存超卖。当两个采购员同时对同一药品入库时，UPDATE inventory SET quantity = quantity + ?可能产生竞态条件。解决方案是添加SELECT ... FOR UPDATE锁：

SELECT quantity FROM inventory WHERE drug_id = ? FOR UPDATE; -- 再执行UPDATE

源码未实现此优化，因实训重点在事务基础，而非高并发。但你在扩展时必须补上——这是从学生代码迈向生产代码的关键跃迁。

3.3 前端交互：JSP动态表格与AJAX局部刷新

药品列表页drug_list.jsp用JSTL标签库渲染表格：

<c:forEach items="${drugList}" var="drug"> <tr> <td>${drug.name}</td> <td>${drug.specification}</td> <td>${drug.unit}</td> <td><fmt:formatNumber value="${drug.price}" pattern="¥#,##0.00"/></td> <td>${drug.inventory.quantity}</td> <td> <c:if test="${drug.inventory.quantity < drug.inventory.min_stock}"> <span style="color:red;">库存预警</span> </c:if> </td> <td> <a href="update_drug.jsp?id=${drug.id}">编辑</a> | <a href="delete_drug.jsp?id=${drug.id}" onclick="return confirm('确认删除？')">删除</a> </td> </tr> </c:forEach>

这里<fmt:formatNumber>确保价格格式化为“¥12.50”，<c:if>实现库存预警视觉提示。但更值得学习的是AJAX局部刷新设计：在drug_list.jsp底部，有段jQuery代码：

// 库存预警自动刷新 setInterval(function() { $.get("check_stock_alert", function(data) { if (data.alertCount > 0) { $("#alert-badge").text(data.alertCount).show(); } else { $("#alert-badge").hide(); } }); }, 30000); // 每30秒检查一次

对应的CheckStockAlertServlet返回JSON：

{"alertCount": 3}

这种设计避免整页刷新，提升用户体验。关键在于Servlet返回纯JSON而非HTML，前端用JS解析并操作DOM——这是Web开发的基础能力，比用Vue/React框架更重要。

注意事项：JSP中<c:forEach>遍历集合时，若drugList为null，页面会抛NullPointerException。源码在Servlet中已做判空：request.setAttribute("drugList", drugList == null ? new ArrayList<>() : drugList);。务必养成“向JSP传参前必判空”的习惯，这是线上系统崩溃的常见原因。

4. 完整实操流程与关键环节实现

4.1 环境搭建：从解压到首页显示的7步实录

拿到javaweb实训-基于javaweb的医院药品管理系统源码+数据库.zip后，按以下步骤操作（以Windows+IDEA+Tomcat 8.5为例）：

Step 1：解压与目录确认
解压后得到src（Java源码）、WebContent（Web资源）、lib（JAR包）、hospital_drug.sql（数据库脚本）四个核心目录。检查lib中是否有mysql-connector-java-5.1.47.jar——这是MySQL驱动，缺则数据库连接失败。

Step 2：创建MySQL数据库
用Navicat或命令行执行：

CREATE DATABASE hospital_drug DEFAULT CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;

注意字符集必须为utf8mb4，否则药品名中的emoji（如💊）会乱码。然后执行hospital_drug.sql导入表结构与初始数据。

Step 3：配置数据库连接
打开src/jdbc.properties，修改：

jdbc.url=jdbc:mysql://localhost:3306/hospital_drug?useUnicode=true&characterEncoding=UTF-8&serverTimezone=GMT%2B8 jdbc.username=root jdbc.password=your_password

serverTimezone=GMT%2B8解决MySQL 5.7时区问题，否则new Timestamp()会报错。

Step 4：IDEA导入项目

• File → New → Project from Existing Sources → 选择解压目录
• 选择“Import project from external model” → Maven（即使无pom.xml，IDEA会识别为Web项目）
• 设置Project SDK为JDK 1.8
• 在“Project Structure” → “Artifacts”中，确认Output directory指向WebContent

Step 5：配置Tomcat Server

• Run → Edit Configurations → + → Tomcat Server → Local
• Deployment → + → Artifact → 选择hospital_drug:war exploded
• Application context设为/hospital（访问路径为http://localhost:8080/hospital）

Step 6：启动与验证
点击绿色三角启动Tomcat。观察控制台：

• 若出现INFO: Server startup in [xxx] milliseconds，表示启动成功；
• 若报错java.lang.ClassNotFoundException: com.mysql.jdbc.Driver，说明驱动JAR未正确加载，需右键项目 → Open Module Settings → Libraries → 添加mysql-connector-java-5.1.47.jar。

Step 7：访问首页
浏览器打开http://localhost:8080/hospital/login.jsp。输入默认账号：

• 用户名：admin
• 密码：123456（MD5加密后为e10adc3949ba59abbe56e057f20f883e）
  成功跳转至main.jsp，显示“欢迎管理员”——环境搭建完成。

实操心得：我在实训中发现，92%的环境问题集中在Step 3和Step 6。常见错误包括：jdbc.properties路径错误（应放在src根目录，而非src/main/resources）；Tomcat端口被占用（修改conf/server.xml中<Connector port="8080">）；IDEA未勾选“Build on make”导致代码修改不生效。建议首次启动前，先用记事本打开JDBCUtil.java，确认Class.forName("com.mysql.jdbc.Driver")与驱动JAR版本匹配（MySQL 5.x用com.mysql.jdbc.Driver，8.x用com.mysql.cj.jdbc.Driver）。

4.2 功能验证：一条药品入库的完整业务流

以采购员身份完成一次药品入库，验证系统闭环：

① 登录采购员账号
用pharmacist/123456登录（密码同admin），进入药房工作台。

② 提交入库单
点击“药品入库” → 填写：

• 药品选择：阿司匹林肠溶片（ID=1）
• 数量：100
• 备注：“2023年Q3采购”
  点击“提交”，页面跳转至in_stock_success.jsp，显示“入库成功”。

③ 验证数据库变更
查询record表：

SELECT * FROM record WHERE operation_type = 1 ORDER BY create_time DESC LIMIT 1; -- 返回：operator_id=2, drug_id=1, quantity_change=100, remark='2023年Q3采购'

查询inventory表：

SELECT quantity, last_update_time FROM inventory WHERE drug_id = 1; -- quantity从50变为150，last_update_time更新为当前时间

④ 检查库存预警
此时min_stock为80，quantity=150，预警不触发。若再入库-100（模拟退货），quantity=50<80，刷新药品列表页，对应行显示“库存预警”。

⑤ 权限隔离验证
用医生账号doctor/123456登录，尝试访问/in_stock.jsp，页面重定向至no_permission.jsp——权限控制生效。

这条业务流覆盖了：用户认证→角色路由→表单提交→事务处理→数据库更新→前端反馈→权限校验。每个环节的输出都可被观测、被验证，这才是可靠系统的基石。

4.3 数据库脚本详解：5张表的字段设计意图

hospital_drug.sql中每张表的字段都服务于明确业务目标，解析如下：

特别说明inventory表：它没有自增主键，而是以drug_id为PRIMARY KEY。这是典型的“一对零或一”关系设计——每种药品有且仅有一条库存记录。这样设计避免了SELECT * FROM inventory WHERE drug_id = ?时出现多行结果，简化DAO层代码。若未来需支持多仓库，可扩展为(drug_id, warehouse_id)联合主键。

关键技巧：执行SQL脚本时，Navicat默认字符集可能为latin1，导致中文注释乱码。务必在执行前，右键连接 → “编辑连接” → “高级” → 设置“默认字符集”为utf8mb4。或者在SQL文件开头添加SET NAMES utf8mb4;。

5. 常见问题与排查技巧实录

5.1 启动报错：java.lang.NoClassDefFoundError: javax/servlet/Servlet

现象：Tomcat启动后控制台报此错，页面显示404。
原因：IDEA未正确配置Servlet API依赖。虽然Tomcat自带servlet-api.jar，但IDEA编译时需将其加入classpath。
解决：

• File → Project Structure → Libraries → + → Java → 选择Tomcat安装目录下的lib/servlet-api.jar
• 或在Project Structure→Modules→Dependencies中，将Provided作用域的Tomcat Library设为Compile

排查逻辑：NoClassDefFoundError表示类在编译期存在，运行期缺失。先确认web.xml中<web-app>版本是否匹配（Servlet 3.1对应version="3.1"），再检查IDEA的Libraries配置。

5.2 登录失败：用户名密码正确但跳转到login.jsp?error=1

现象：输入admin/123456，页面重定向回登录页并带error=1参数。
原因：LoginServlet中userService.login()返回null，通常因数据库查询失败。
排查步骤：

1. 检查jdbc.properties中数据库名、用户名、密码是否与实际一致；
2. 在UserDao.login()方法中，打印SQL语句：System.out.println("SQL: " + sql);，复制到Navicat执行，确认能否查到admin用户；
3. 查看user表中password字段值是否为e10adc3949ba59abbe56e057f20f883e（123456的MD5）；
4. 若用其他密码，需用在线MD5工具生成新值并更新数据库。

经验技巧：在UserService.login()中添加日志：System.out.println("Login attempt for: " + username);。当控制台出现此日志，说明Servlet已接收请求；若无日志，则问题在web.xml的<servlet-mapping>配置。

5.3 药品列表空白：JSP页面显示空表格

现象：登录后进入药品列表，表格无数据，但无报错。
原因：DrugServlet中drugList未正确设置到request域，或DAO层查询返回null。
快速定位：

• 在DrugServlet.doGet()末尾添加：System.out.println("Drug count: " + drugList.size());
• 若输出Drug count: 0，说明DAO查询为空；
• 若报NullPointerException，说明drugList为null，需在DAO中初始化：return list == null ? new ArrayList<>() : list;

根本解决：检查DrugDao.findAll()的SQL：

SELECT d.*, i.quantity, i.min_stock, i.last_update_time FROM drug d LEFT JOIN inventory i ON d.id = i.drug_id

若inventory表为空，LEFT JOIN仍返回d.*字段，但i.quantity为NULL。源码中Drug实体类的inventory字段为Inventory对象，需在构造时处理NULL：

if (rs.getObject("quantity") != null) { Inventory inv = new Inventory(); inv.setQuantity(rs.getInt("quantity")); inv.setMinStock(rs.getInt("min_stock")); inv.setLastUpdateTime(rs.getTimestamp("last_update_time")); drug.setInventory(inv); }

5.4 中文乱码：页面显示“???”或方框

现象：药品名为“阿司匹林”，页面显示“涓诲姟鍣ㄦ湇鍔″櫒”。
原因：字符集未统一，涉及三处配置：

1. 数据库连接URL：确认jdbc.url含?useUnicode=true&characterEncoding=UTF-8；
2. JSP页面编码：<%@ page contentType="text/html;charset=UTF-8" %>必须存在；
3. Tomcat配置：conf/server.xml中<Connector>添加URIEncoding="UTF-8"：

<Connector port="8080" protocol="HTTP/1.1" connectionTimeout="20000" redirectPort="8443" URIEncoding="UTF-8" />

终极验证法：在LoginServlet中打印request.getParameter("username").getBytes("UTF-8")的字节数组，与数据库中存储的字节对比。若一致，则问题在前端渲染；若不一致，则问题在请求解析。

5.5 事务失效：入库后记录表有数据，库存表未更新

现象：record表新增一行，但inventory.quantity不变。
原因：conn.commit()未执行，或conn.rollback()被意外调用。
调试方法：

• 在DrugService.inStock()的conn.commit()前加断点，Debug模式运行；
• 观察conn对象的autoCommit属性是否为false；
• 检查catch块中conn.rollback()是否被触发（查看控制台是否有SQLException堆栈）；
• 确认JDBCUtil.getConnection()返回的Connection是否与conn.commit()操作的是同一个实例（避免Connection被提前关闭）。

高频陷阱：JDBCUtil.close(conn)在finally块中执行，若conn为null会抛NullPointerException。源码中已做判空：if (conn != null) { conn.close(); }，但学生常忽略此检查。

6. 项目扩展与进阶改造指南

6.1 从实训项目到生产可用：3个关键升级点

这份源码是优秀的教学载体，但要用于真实医院环境，需进行三处实质性升级：

① 密码策略强化
当前MD5盐值加密已过时。升级为BCrypt：

• 引入bcrypt依赖（org.mindrot:jbcrypt:0.4）；
• UserService.register()中：String hashed = BCrypt.hashpw(password, BCrypt.gensalt(12));；
• UserService.login()中：BCrypt.checkpw(inputPassword, dbHashed)；
  为什么必须升级：MD5已被GPU集群秒破，BCrypt的gensalt(12)使单次哈希耗时约300ms，极大增加暴力破解成本。

② 库存并发控制
解决前文提到的超卖问题：

• 修改DrugService.inStock()，在UPDATE前加锁：

String lockSql = "SELECT quantity FROM inventory WHERE drug_id = ? FOR UPDATE"; PreparedStatement psLock = conn.prepareStatement(lockSql); psLock.setInt(1, drugId); psLock.executeQuery(); // 执行锁查询 // 再执行UPDATE...

为什么必须加锁：UPDATE inventory SET quantity = quantity + ?在高并发下是“读-改-写”三步，中间可能被其他线程插入。SELECT ... FOR UPDATE在InnoDB中加行锁，确保事务串行化。

③ 日志审计体系
当前record表仅记录操作类型，缺乏上下文。新增audit_log表：

CREATE TABLE audit_log ( id BIGINT PRIMARY KEY AUTO_INCREMENT, user_id INT NOT NULL, action VARCHAR(50) NOT NULL, -- 'LOGIN', 'IN_STOCK', 'DELETE_DRUG' target_type VARCHAR(20), -- 'USER', 'DRUG', 'RECORD' target_id BIGINT, ip_address VARCHAR(45), user_agent TEXT, create_time DATETIME DEFAULT CURRENT_TIMESTAMP );

在LoginServlet、DrugServlet等入口处，统一调用AuditLogService.log(request, "LOGIN", userId)。审计日志是医疗系统合规刚需，满足《信息安全技术 网络安全等级保护基本要求》中“重要操作行为应有日志记录”的条款。

6.2 技术栈演进：如何平滑迁移到Spring Boot？

若需将此项目升级为Spring Boot，推荐渐进式迁移路径：

阶段一：保留Servlet，引入Spring IoC

• 添加spring-context依赖；
• 创建applicationContext.xml，用<context:component-scan>扫描Service层；
• LoginServlet中通过WebApplicationContextUtils.getRequiredWebApplicationContext(getServletContext()).getBean(UserService.class)获取Service实例；
  收益：解耦Service与Servlet，为后续升级铺路，且不改变现有架构。

阶段二：替换JDBC为MyBatis

• 添加mybatis、mybatis-spring依赖；

本文还有配套的精品资源，点击获取