SpringBootVue这套组合做论坛系统我在实战里捣鼓过好几回。实话说这不仅是很多计算机专业学生毕业设计的首选也是刚入行的Java开发练手的最佳项目之一。做论坛系统特别有意思它麻雀虽小五脏俱全用户系统、内容管理、权限控制、搜索分页这些核心业务全都能碰到。这篇内容我准备把整个项目的核心设计思路、技术选型理由、数据库表怎么建、前后端关键模块怎么写、部署时会踩的坑一次说透。1. 项目整体设计思路1.1 为什么选论坛系统这个题材论坛系统几乎是Java Web项目里最经典的练手题目了。很多人想不通市面上有Discuz、有开源的知乎方案为啥还要自己动手写一个核心原因很简单论坛的交互逻辑足够典型。它包含了一套完整的内容管理系统闭上眼睛就能想全——用户注册登录、发帖回帖、版块分类、帖子列表的分页展示、热门文章排序、管理员审核。这些功能几乎覆盖了企业级开发的大部分常用场景。你把这个项目做好了很多公司的业务系统说白了就是论坛个换皮比如内部工单系统、客服反馈系统、招聘面试题库共享平台底层逻辑大同小异。我当初在做这个项目时最开始就明确了两条铁律第一必须用前后端分离的架构而不是传统的服务端渲染模板。第二数据库表结构设计一定要留出冗余空间不能为了现在简单就砍掉必要字段。这两条在开发过程中帮了大忙。论坛系统和单纯的管理后台不同它面向的是活跃用户所以接口设计上需要照顾高并发读场景比如热帖列表、帖子详情就需要设计合理的缓存策略和分页逻辑。1.2 功能模块划分与角色设计论坛系统的核心角色我划分了三类普通用户、版主、管理员。所有围绕这个系统的功能设计都要先想清楚这三种角色分别能干什么。普通用户能注册登录、浏览帖子、发布新帖、回复评论、收藏帖子版主额外拥有管理自己管辖版块的权力比如删帖、置顶、加精管理员则拥有最高权限可以管理所有用户、封禁账号、创建版块、查看系统统计数据。在实际编码前我强烈建议先画出功能矩阵图也就是把每个功能点对应到Web前端的哪个页面、调用后端哪个API接口。这一步看起来繁琐但能帮你省下后期大量的沟通返工成本。功能拆分得越细后端Controller的路径规划和前端路由的映射就越清晰。这也是网上很多教程不教你的东西他们光给你看成品代码但没告诉你这些API接口的命名和划分是这么推出来的。1.3 前后端分离架构的核心思路前后端分离架构是这套系统的地基。前端跑在开发者本机的8080端口打包后可以放在Nginx或者并入SpringBoot静态资源目录后端SpringBoot跑在8081或者9090端口两者通过HTTP JSON进行通信。这样做最大的好处是前端开发过程中不需要依赖后端环境只要后端接口定义清楚甚至可以并行开发。不过前后端分离也引入了两个必须解决的问题跨域和身份凭证共享。跨域可以用在后端配置CORS过滤器解决身份凭证则用JWTJSON Web Token来解决。我在项目里采用的方式是用户登录成功后后端签发一个带过期时间的JWT令牌前端每次请求都把这个令牌放在HTTP请求头里后端通过拦截器验证令牌有效性。这样就不需要Session天然适配前后端分离的场景也方便将来做移动端应用复用接口。2. 核心技术栈选型分析2.1 SpringBoot选择理由我见过不少还在用SSMSpringSpringMVCMyBatis的老项目。相比之下SpringBoot把这个繁琐的配置过程大幅简化了。它内置了Tomcat通过自动配置把大量样板代码一键搞定你用几行配置就能把项目跑起来。在2025年这个时间节点新开的Java项目再去手工配置各种XML文件已经完全没有必要。SpringBoot的自动配置原理确实值得花时间弄懂。它通过SpringBootApplication注解结合META-INF/spring.factories文件里的自动配置类根据你引入的依赖把对应的Bean自动装配好。举个例子你引入了spring-boot-starter-web它就自动配置好DispatcherServlet和嵌入式的Tomcat你引入了spring-boot-starter-jdbc它就根据配置文件里的数据库链接信息自动创建DataSource。这里我要特别提醒一个版本选择的问题SpringBoot 3.x 要求Java 17及以上版本如果你电脑上装的是JDK 8直接引入SpringBoot 3.x 版本启动必报错提示Unsupported class file major version。很多新手在这里卡了一整天。我项目的稳妥方案是SpringBoot 2.7.x配JDK 8这也是目前大量生产环境的实操配置稳定没毛病。等到你玩熟了再升级到SpringBoot 3.x也不迟。2.2 MyBatis选择理由持久层框架我坚定选了MyBatis而不是JPA/Hibernate。理由是论坛系统里有大量的动态查询场景帖子列表可能有标题模糊搜索、按分类筛选、按作者筛选、按时间排序、按热度排序这些条件组合在一起用JPA的Criteria API写起来非常痛苦拼接大量Specification代码也没好到哪去。MyBatis就舒服多了直接在XML里写动态SQL通过 标签判断参数拼接WHERE条件一眼看得见最终执行的SQL长什么样排查问题非常方便。MyBatis的另一个优势是SQL手写自由度极高。比如论坛热帖排行榜这种复杂查询我要用LEFT JOIN关联用户表拿作者头像和昵称还要用子查询统计每个帖子下的回复数量这种SQL在MyBatis里写起来游刃有余。需要提醒小白的是MyBatis的Mapper接口和XML文件之间的绑定规则很简单但容易出错Mapper接口的完整限定名必须和XML文件的namespace一致方法的名称必须和XML里语句的id一致参数类型和返回类型也要严格匹配。如果是用SpringBoot整合MyBatis记得在Mapper接口上添加Mapper注解或者在启动类上用MapperScan批量扫描否则项目启动时会提示找不到Bean直接启动失败。2.3 Vue选择理由前端框架没有第二个选项直接Vue。原因都不用多说Vue在国内前端圈的普及率太高了社区资料丰富遇到问题搜一下就有一堆答案。Vue 2.7和Vue 3.4是当前的两条主流线程论坛系统这种中小型项目用Vue 2.7搭配Element UI组件库开发效率极高。如果你动手能力比较强也可以直接上Vue 3 Element Plus。Vue的核心思想是组件化开发。咱们把论坛页面拆开来看导航栏是一个公共组件帖子列表项是一个组件发布帖子的富文本编辑器是一个组件分页器是一个组件。每个组件负责自己的数据和交互最后组合成完整的页面。这种组件化最大的好处是复用和管理便利比如帖子列表这种组件在版块首页、搜索页、个人中心发布的帖子列表都可以复用只需要改一下数据传入方式。2.4 版本选型细节版本搭配这个问题网上能查到的信息其实挺杂的我直接把我验证过的稳定组合列出来组件版本说明JDK1.8稳定兼容性最好SpringBoot2.7.182.x最后一个维护版本成熟稳定MyBatismybatis-spring-boot-starter 2.3.x适配SpringBoot 2.xMySQL5.7或8.0建议用8.0性能更好Node.js14以上Vue 2.7要求Node 14Vue2.7.xComposition API可用兼容Options APIElement UI2.15.xVue 2的最佳搭档这套组合是经过大量项目验证的新手如果不想在环境配置上浪费太多时间照抄这个就行。我自己刚开始接触这套技术栈时候就因为SpringBoot版本太高配了JDK8踩了不少坑后来学乖了。3. 数据库设计与实现3.1 核心数据表结构数据库是整个论坛系统的心脏表结构设计得不好后期写业务代码时处处都是补丁工程。我设计的论坛系统数据库包含这几张核心表user用户表字段包括id、username、passwordBCrypt加密存储、nickname、avatar、email、role区分管理员/版主/普通用户、status正常/封禁、create_time。board版块表字段包括id、board_name、board_desc、moderator_id版主用户ID、post_count、create_time。post帖子表字段包括id、user_id发帖人、board_id所属版块、title、content支持存储富文本HTML、view_count、like_count、is_top是否置顶、is_essence是否加精、status正常/删除、create_time、update_time。comment评论表字段包括id、post_id、user_id、content、like_count、parent_id区分是楼层评论还是楼中楼回复、create_time。user_like_post用户点赞帖子关系表记录哪个用户赞了哪篇帖子防止重复点赞。每张表都加上create_time和update_time这两个时间字段这个是行业惯例你要是不信以后接手真实企业项目就会发现随便哪张业务表都有这两个字段。根据需求下载源码后补充更多细节。3.2 表关系与索引设计表与表之间的关系用最直白的说法就是用户和帖子是一对多关系一个用户可以发多篇帖子版块和帖子是一对多关系一个版块下包含多篇帖子帖子和评论是一对多关系一篇帖子下有多条评论。索引设计这块好多新手根本不设数据量一上来就全表扫描卡得不行。论坛系统里查询最频繁的就是帖子列表所以我在post表上建了这些索引post表普通索引board_id按版块查帖子、普通索引user_id查用户发过的帖子、普通索引create_time按时间排序、联合索引(board_id, create_time)版块内按时间排序。comment表普通索引post_id查某个帖子下的所有评论。索引不是随便建的我给出的原则很简单查询语句的WHERE条件里频繁出现的字段就建索引排序字段经常出现的也考虑建索引。但索引不是越多越好每个索引都会拖慢插入和更新速度所以只要建在真正高频查询的字段上即可。3.3 关键SQL与初始化数据建表语句的核心部分值得展开讲讲。用户表的SQL我简化后如下CREATE TABLE user ( id bigint(20) NOT NULL AUTO_INCREMENT, username varchar(50) NOT NULL COMMENT 用户名, password varchar(100) NOT NULL COMMENT 密码(BCrypt加密), nickname varchar(50) DEFAULT NULL COMMENT 昵称, avatar varchar(255) DEFAULT NULL COMMENT 头像URL, email varchar(100) DEFAULT NULL COMMENT 邮箱, role tinyint(4) NOT NULL DEFAULT 1 COMMENT 角色:0管理员,1普通用户,2版主, status tinyint(4) NOT NULL DEFAULT 1 COMMENT 状态:1正常,0封禁, create_time datetime NOT NULL DEFAULT CURRENT_TIMESTAMP, update_time datetime NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP, PRIMARY KEY (id), UNIQUE KEY uk_username (username) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT用户表;有几个细节你可能会忽略第一个是comment字符串不要在MySQL 5.5那种老版本上建表字段注释直接写上中文方便团队协作第二个是username必须加唯一索引因为登录是靠用户名查的不加唯一索引用户会重复注册第三个是password字段长度给的100BCrypt加密后的字符串长度是60位所以100足够不会截断。Engine一定要用InnoDB不用MyISAM因为论坛系统有大量的行级锁和事务需求。初始化数据这三类是必须的插入一个管理员账号username是admin密码用BCrypt加密后的密文、插入几个默认版块比如“技术交流”“生活闲聊”“资源分享”、插入几篇模拟帖子方便前端页面出来时有内容展示。4. 后端核心模块实现4.1 后端项目结构后端项目的包结构直接决定了代码是不是好维护不少新手喜欢把所有类堆在一起全局就是一场灾难。我推荐按照MVC模式结合业务模块来做包划分src/main/java/com/example/forum/ ├── config/ # 配置类CORS跨域配置、MyBatis配置、JWT拦截器配置 ├── controller/ # 接口层UserController、PostController、CommentController ├── service/ # 业务层UserService、PostService、CommentService ├── mapper/ # MyBatis的Mapper接口UserMapper、PostMapper、CommentMapper ├── entity/ # 实体类User类、Post类、Comment类 ├── dto/ # 数据传输对象登录请求DTO、帖子查询条件DTO ├── common/ # 通用工具Result封装类、JwtUtil工具类、全局异常处理 └── interceptor/ # 拦截器JWT认证拦截器、管理员权限拦截器4.2 用户认证与权限控制用户认证这块我前面说过用的是JWT方案。具体实现流程是这样的用户提交username和password后Service层用BCrypt算法比对密码密码匹配则用JwtUtil生成一个token字符串返回给前端。这个token里面封装了用户ID和角色信息后端在需要认证的接口上添加拦截器每次请求来时拦截器解析token如果解析失败就返回401状态码提示未登录如果解析成功就把用户信息放入ThreadLocal中方便后续的业务逻辑获取当前登录用户。很多教程都只讲了JWT怎么用没讲为什么要用JWT而不是Session。我用自己的话解释一下Session方案需要服务端保存一份会话数据用户数量上来之后这张表会非常大而且一旦做成分布式部署Session共享就是个老大难问题。而JWT把用户信息加密后直接放在客户端服务端是无状态的A服务器签发tokenB服务器只需要拥有相同的密钥就能验证token伪劣天然适配多实例部署。当然JWT也不是完美的它也有token提前失效难的短板但对论坛系统而言它已是非常合适的选择。4.3 帖子发布与评论模块实现发帖这个功能看着简单实际也有不少需要注意的地方。前端提交的帖子内容往往是一段富文本HTML后端接收时要做两层校验第一层是非空校验标题长度和内容长度都要限制在合理范围内以保证数据库不被垃圾数据灌满第二层是XSS防注入转义不能直接把这个HTML拼接进页面返回给其他用户否则恶意用户在帖子里插入一段script标签其他用户只要访问这个帖子就会被劫持。我的做法是使用JSOUP这个HTML解析库只保留白名单标签其余全部清除。评论模块的实现同样需要控制嵌套层级。我见过有些系统把楼中楼的回复无限嵌套下去结果前端递归渲染逻辑写得很痛苦。我的建议是评论最多支持两级一级评论是直接回复帖子的二级评论是回复某个一级评论的通过comment表的parent_id字段来区分parent_id为0则表示这是一级评论。这样做前端渲染逻辑和数据库查询逻辑都很简单在真实业务里完全够用。4.4 MyBatis Mapper层核心写法MyBatis的Mapper接口加SQL映射文件是整个系统里最见功力的部分。这里分享一个我常用的动态分页查询写法。PostMapper接口定义ListPostVO selectPostList(Param(boardId) Long boardId, Param(keyword) String keyword, Param(userId) Long userId, Param(offset) int offset, Param(size) int size);对应的PostMapper.xmlselect idselectPostList resultTypecom.example.forum.dto.PostVO SELECT p.id, p.title, p.view_count, p.like_count, p.is_top, p.is_essence, p.create_time, u.nickname, u.avatar, b.board_name FROM post p LEFT JOIN user u ON p.user_id u.id LEFT JOIN board b ON p.board_id b.id where if testboardId ! null AND p.board_id #{boardId} /if if testkeyword ! null and keyword ! AND (p.title LIKE CONCAT(%, #{keyword}, %) OR p.content LIKE CONCAT(%, #{keyword}, %)) /if if testuserId ! null AND p.user_id #{userId} /if AND p.status 1 /where ORDER BY p.is_top DESC, p.create_time DESC LIMIT #{offset}, #{size} /select这段动态SQL的精妙之处在于传不传条件它都能拼接出合理的SQL。这是MyBatis生态最大的优势——SQL对程序员100%可控。你在XML里写什么最后就会执行什么没有Hibernate那种实体状态映射的隐晦问题。LIMIT和OFFSET配合使用实现分页前端传当前页码pageNum和每页大小pageSize后端计算offset (pageNum - 1) * pageSize。5. 前端Vue核心实现5.1 Vue工程搭建前端Vue项目的搭建最好是直接使用官方Vue CLI或者Vite。Vite现在已经是Vue官方推荐的构建工具启动速度快、热更新即时开发体验比webpack时代好了几个层级。在创建项目时可以选择Vue 2.7 Vue Router Vuex/Pinia的模板再通过npm命令安装Element UI组件库和Axios。有个很常见的坑在这里要说一下Element UI和Element Plus是两个不同的库前者适配Vue 2后者只适配Vue 3。如果Vue版本和UI库版本不匹配页面上什么都渲染不出来控制台还会报大量组件未注册的错误。检查办法很简单package.json里如果Vue版本是2.x就引入element-uiVue版本是3.x就引入element-plus。Axios二次封装也是必须要做的一件事。一般我会在src/utils/request.js中创建一个Axios实例设置baseURL指向后端服务的地址设置请求拦截器把本地的token加到请求头中设置响应拦截器统一处理后端返回的错误码。比如后端返回401状态码时前端拿到后直接跳转登录页并清空本地存储的token。这套统一处理机制能帮你省掉每个页面里的重复错误处理代码。5.2 路由与状态管理前端的路由设计我按照页面维度拆分为首页路由、帖子详情页路由、登录注册页路由、个人中心页路由、版块列表页路由、管理员后台路由。这里有一个很重要的细节是动态路由。普通用户和管理员看到的导航菜单不一样管理员和版主才看得到用户管理、版块管理这些后台页面。这就需要在前端登录后根据后端返回的角色信息动态添加路由条目。Vue Router 2.7版本中用router.addRoutes()完成这个操作这个点虽然小但属于实用加分项。状态管理这块如果是Vue 2项目就用VuexVue 3就用Pinia。主要用来存储当前登录用户的信息比如用户ID、昵称、头像、角色这样各个组件在需要展示用户信息时就直接从Vuex里拿不必每次请求后端获取。注意用户信息在刷新页面之后要能从localStorage恢复不然一刷新页面就丢失登录状态体验非常糟糕。5.3 核心接口对接前后端对接的关键是接口路径要高度统一。通常后端Controller会按照资源命名规范来定义路径比如/api/user/login是登录接口/api/post/list是帖子列表接口/api/comment/list是评论列表接口。前端把接口调用封装在src/api/目录下每个页面模块对应一个JS文件例如post.js里放getPostList、createPost、getPostDetail等函数。前后端联调时最常遇到的问题就是跨域。开发环境下前端跑在localhost:8080后端跑在localhost:8081前端请求后端接口时浏览器的同源策略会拦下这个请求。解决办法有两种第一种是在后端配置CORS这是全局生效最省事的方案第二种是在Vue CLI的devServer中配置proxy代理把/api前缀的请求都代理到http://localhost:8081上去。我更喜欢用第一种方案后端的CORS配置在SpringBoot里加一个配置类就搞定了而且生产环境打成jar包后也能继续生效。6. 项目部署与环境配置6.1 MySQL安装与数据导入数据库的安装确实是新手比较头疼的一个环节这里分享一下我的具体经验。如果是Windows系统安装MySQL建议下载ZIP免安装版解压后手动配置不要用MSI安装包因为它经常会出现服务无法启动或者配置不成功的问题。解压后需要做三件事在根目录创建my.ini配置文件、把bin目录加入系统环境变量PATH、以管理员身份打开CMD执行mysqld --initialize-insecure完成初始化。注意这一步会在data目录生成初始数据库文件初始化的root用户密码为空启动服务后你要马上设置新密码。MySQL 8.0连接时可能会出现一个SSL连接错误报错内容是Unable to load authentication plugin caching_sha2_password这是因为MySQL 8.0的默认认证插件变了。解决办法是在JDBC连接URL上追加useSSLfalse和allowPublicKeyRetrievaltrue两个参数以及将驱动类改为com.mysql.cj.jdbc.Driver。你可以直接抄这段配置spring: datasource: url: jdbc:mysql://localhost:3306/forum?useUnicodetruecharacterEncodingutf8useSSLfalseserverTimezoneAsia/ShanghaiallowPublicKeyRetrievaltrue username: root password: 你自己设置的密码 driver-class-name: com.mysql.cj.jdbc.Driver6.2 SpringBoot启动配置SpringBoot项目启动前你需要确保Maven依赖已经完整下载下来。如果你用的是IDEA点击maven面板右侧的刷新按钮会帮你自动处理。启动方式非常多样既可以在IDEA中直接点击运行按钮启动主类也可以打包成可执行jar包在命令行中用java -jar命令启动生产环境里还经常配合process或者docker来管理进程。在配置文件中还有一个线程池配置细节可以分享。论坛系统在并发请求多的时候可能会出现数据库连接池不够用的情况SpringBoot默认的HikariCP连接池有合理的默认值直接可用但如果你想要调优可以设置最大连接数。个人经验是对于3500行左右的小型论坛系统默认配置不调整也能扛住日常使用所以不用太早优化先把功能跑通最重要。6.3 Vue构建与打包部署开发完前端后最终部署有两种方式这两种方式我都实际操作过给你说下它们的差异。第一种是把前端代码打包后交给Nginx托管。在项目根目录执行npm run build会把build目录或者dist目录生成出来取决于Vue CLI还是Vite配置然后把dist目录整个上传到服务器配置Nginx监听80端口同时设置一个/api的location规则反向代理到后端服务的8081端口。这种方案的优点是动静分离前端页面由Nginx直接响应后端接口由SpringBoot处理还能利用Nginx的静态文件缓存能力提升加载速度。第二种是把前端打包后的静态文件直接放到SpringBoot项目的src/main/resources/static目录下这样直接运行一个SpringBoot的jar包就能同时提供前端页面和后端接口服务。这种语法简单、部署优雅适合小型项目和个人学习使用。不过有个大坑要提醒前端打包时如果用的是相对路径部署后就会出现资源加载404的报错解决办法是修改Vue CLI的publicPath配置为./或者用绝对路径加上项目前缀。7. 常见问题与排查技巧实录7.1 数据库连接相关的坑数据库这块是最容易出现问题的重灾区必须单独拿出来说一下。最常见的是本地MySQL服务未启动导致连接失败。解决办法很简单打开Windows服务管理器找到MySQL服务启动它同时设置为开机自动。第二种是驱动版本和数据库版本不匹配MySQL 8.0必须使用mysql-connector-java 8.0以上的版本MySQL 5.7可以用5.1版本用错了版本启动时会报错ClassNotFoundException。第三种是SSL连接导致的问题我在6.1已经提到过加上useSSLfalse就对了。这里我再补充一句话报Public Key Retrieval is not allowed这个错的时候就说明你连接的是MySQL 8.0且账号密码认证方式用的caching_sha2_password此时在URL上追加allowPublicKeyRetrievaltrue即可彻底解决。7.2 前后端联调时的跨域问题跨域问题我相信每个做前后端分离的人都遇到过。错误特征非常典型前端控制台报错提示No Access-Control-Allow-Origin header is present on the requested resource甚至请求状态码是200但你点开响应看数据为空。我的排查步骤很固定先打开浏览器开发者工具的Network面板看实际请求有没有发出去、有没有被服务器响应。如果请求压根没发出那是前端代理配置的问题如果发出了但被拦截那就是后端CORS没有配置好。后端配置CORS时注意要处理OPTIONS预检请求否则前端会报一个奇怪的错误。SpringBoot中的CORS配置用下面的代码就能解决问题我是直接写了一个WebMvcConfigurer的实现类Configuration public class CorsConfig implements WebMvcConfigurer { Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping(/**) .allowedOriginPatterns(*) .allowedMethods(GET, POST, PUT, DELETE, OPTIONS) .allowedHeaders(*) .allowCredentials(true) .maxAge(3600); } }7.3 MyBatis与SpringBoot版本问题、启动失败排查MyBatis整合进SpringBoot时有一个隐藏很深但很多人走过的坑你引入了mybatis-spring-boot-starter之后如果没有在resources目录下创建MapperXML文件存放的路径对应的application配置项MyBatis就只能找到Mapper接口找不到XML里的SQL语句。启动时不会直接报错但运行时一调用Mapper方法就会报Invalid bound statement (not found)。解决办法是在application.yml里加上这一段mybatis: mapper-locations: classpath:mapper/*.xml type-aliases-package: com.example.forum.entity configuration: map-underscore-to-camel-case: true这段配置的前两行大家都能理解但我特别说一下第三行map-underscore-to-camel-case这个配置到底做了什么。数据库字段名是create_time这种下划线风格Java实体类是createTime这种驼峰风格没有这个配置的话MyBatis在映射时会把create_time塞给createTime属性结果是全部变成null。很多新手发现查询返回的实体类字段全是null误以为SQL写错了排查半天才发现是这个开关没打开。还有一类启动失败是因为端口占用。SpringBoot默认端口8080被占用时报错信息显示Port 8080 was already in use。如果你不想杀进程最直接的解决办法是在application.yml里换个端口比如加上server.port9090。如果你用的是IDE在运行配置里添加VM options -Dserver.port9090或者编辑配置里的Program arguments加上--server.port9090这种参数这也是控制启动端口的灵活性很高的方式。8. 各自踩过的一些实际问题的补充8.1 权限控制有个容易遗漏的细节很多论坛系统里用户点击删除自己的帖子时后端接口只校验了用户是否登录却没有校验这个帖子是不是属于当前用户。这就导致任何一个登录用户只要知道帖子ID都能把别人的帖子删掉这属于越权漏洞。我的处理方式是有意区分不同角色的权限判断逻辑用户删自己的帖子只需校验帖子作者id等于当前登录用户id管理员删任何帖子则只需校验角色是管理员。我在Service层把这些判断作为核心的防御逻辑实现出来而不是依赖前端按钮隐藏这种纯展示层的拦截。这段代码很简单但这条防线至关重要好多视频教程都没提这一点完全是靠实操踩出来的教训。8.2 富文本XSS攻击的防御论坛系统天然是XSS攻击的高发区因为用户可以在帖子里写入任意内容。我在项目里采用白名单策略用JSoup库来过滤富文本内容只保留p、br、strong、img、a、ul、ol、li这些安全标签并清理所有onclick、onerror等事件属性以及javascript:开头的链接。经过这样一遍清洗后即使有人故意提交包含script标签的内容最终入库的就是纯文本和无害标签可以有效防护XSS注入攻击。这个处理逻辑要放在后端Service层不能只靠前端过滤否则绕过前端直接调用接口就能把恶意脚本放进数据库。8.3 MyBatis缓存问题MyBatis自带的本地缓存默认开着有时你会发现帖子列表更新了但查询结果还是旧数据这是因为一级缓存的作用范围是同一个SqlSession二级缓存如果没有明确开启的话是不会生效的。在SpringBoot整合环境下每个Mapper方法默认会开启一个独立的SqlSession所以这种问题出现的概率其实不大。但如果你遇到了查询结果没刷新的问题这算是一种排查思路在MapperXML的select语句上设置flushCachetrue可以关闭该语句的缓存或者在需要实时数据时强制刷新SqlSession。我在做论坛系统时最深刻的体会是光会写业务代码还远远不够需要把每个关键决策背后的“为什么”搞清楚。比如为什么要用JWT而不是Session、为什么索引要建在这些字段上、为什么MyBatis的动态SQL最适合这个业务场景。把这些原理吃透了你在面试时才能真正答得上“技术选型的依据”这类问题在项目中遇到Bug时也才能快速定位而不需要靠瞎猜碰运气。这篇内容把核心链路完整走了一遍从需求拆解到数据库设计再到前后端实现最后到部署排错。如果照着这条链路一步步动手做过一遍你对SpringBootVue这套技术栈的理解程度会远超只看教程的水平。