尧图网站建设 
在开发一个完整的进销存管理系统时很多同学和初级开发者往往将重点放在功能实现上而忽略了系统的安全性。这导致项目虽然能跑起来但存在大量安全漏洞如SQL注入、越权访问、明文存储密码等这在毕业设计、课程设计或实际项目中都是致命的扣分项。本文将围绕一个基于Java的小型超市进销存管理系统从零开始系统性地讲解如何将安全设计融入开发的每一个环节。我们将从数据库安全、后端接口安全、前端防护到部署运维提供一个完整、可复现的安全开发实战指南并附带源码和关键代码讲解确保你的项目不仅功能完备更能达到企业级的安全基线。1. 系统安全概述与核心概念在开始编码之前我们必须明确“系统安全”在这个上下文中的具体含义。对于一个进销存管理系统安全不仅仅是设置一个登录密码而是一个贯穿数据、业务逻辑和基础设施的完整体系。1.1 什么是进销存管理系统的安全进销存管理系统的安全目标是确保商品、库存、供应商、客户以及交易流水等核心业务数据的机密性、完整性和可用性。机密性确保数据只能被授权的人员访问。例如普通收银员不能查看成本价和供应商信息仓库管理员不能修改销售订单。完整性防止数据被未授权地篡改。例如确保库存数量的加减计算准确不会被恶意程序或误操作破坏。可用性确保系统在需要时可正常使用。虽然毕业设计项目对高可用要求不高但需防范如弱密码爆破导致服务瘫痪等基础风险。1.2 常见安全威胁与我们的防御重点结合“小型超市”的业务场景我们需要重点关注以下几类威胁身份认证与授权漏洞弱口令、密码明文传输、会话固定、越权操作水平越权修改他人订单垂直越权普通员工执行管理员操作。注入攻击主要是SQL注入攻击者通过输入框提交恶意SQL片段窃取或破坏数据库数据。敏感数据泄露数据库备份文件、源码、配置文件含数据库密码被直接下载。逻辑漏洞如商品出库时前端传递负数量导致库存反向增加“无限库存”漏洞。跨站脚本XSS在商品名称、公告等位置注入恶意脚本盗取用户Cookie。我们的开发实战将围绕防御这些威胁展开。2. 环境准备与项目结构说明一个安全的项目从规范的环境和清晰的结构开始。这有助于代码管理和漏洞排查。2.1 技术栈与版本选择后端框架Spring Boot 2.7.x (一个稳定版本避免使用最新版可能的不兼容)安全框架Spring Security 5.7.x (集成身份认证和授权)持久层MyBatis-Plus 3.5.x (简化CRUD但需注意其Wrapper的SQL注入风险)数据库MySQL 8.0 或 5.7 (本文以MySQL为例与SQLServer思路相通)前端模板Thymeleaf 3.0.x (服务端渲染模板可天然缓解部分XSS)依赖管理MavenJDK版本JDK 8 或 JDK 11 (LTS长期支持版)关键点在pom.xml中固定依赖的版本号避免使用latest以确保环境一致性这也是安全的一环。2.2 项目目录结构规划一个清晰的结构是安全代码的基础。建议的Maven项目结构如下supermarket-inventory-security/ ├── src/ │ ├── main/ │ │ ├── java/ │ │ │ └── com/ │ │ │ └── yourcompany/ │ │ │ └── supermarket/ │ │ │ ├── SupermarketApplication.java # 启动类 │ │ │ ├── config/ # 配置类安全配置在此 │ │ │ ├── controller/ # 控制器接口层 │ │ │ ├── entity/ # 实体类对应数据库表 │ │ │ ├── mapper/ # MyBatis Mapper接口 │ │ │ ├── service/ # 业务逻辑层 │ │ │ │ └── impl/ │ │ │ ├── security/ # 安全相关核心类重点 │ │ │ │ ├── CustomUserDetailsService.java │ │ │ │ └── JwtTokenUtil.java # 如果采用JWT │ │ │ └── utils/ # 工具类加密、验证等 │ │ └── resources/ │ │ ├── static/ # 静态资源 │ │ ├── templates/ # 模板页面 │ │ ├── application.yml # 主配置文件 │ │ └── mapper/ # MyBatis XML文件 │ └── test/ # 测试代码 └── pom.xml安全启示security包独立出来凸显其重要性。所有安全相关的逻辑如密码加密、权限检查都应集中管理。3. 数据库安全设计与实践数据是系统的核心数据库是安全的第一道防线。3.1 安全的数据库表设计以用户表(sys_user)为例展示如何设计安全的表结构CREATE TABLE sys_user ( id bigint(20) NOT NULL AUTO_INCREMENT COMMENT 主键ID, username varchar(50) NOT NULL COMMENT 登录用户名, password varchar(255) NOT NULL COMMENT 加密后的密码, real_name varchar(50) DEFAULT NULL COMMENT 真实姓名, phone varchar(20) DEFAULT NULL COMMENT 手机号, email varchar(100) DEFAULT NULL COMMENT 邮箱, status tinyint(1) NOT NULL DEFAULT 1 COMMENT 状态1-正常0-禁用, last_login_time datetime DEFAULT NULL COMMENT 最后登录时间, create_time datetime NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT 创建时间, update_time datetime NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT 更新时间, PRIMARY KEY (id), UNIQUE KEY uk_username (username), -- 用户名唯一 KEY idx_status (status) -- 状态索引 ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT系统用户表;安全要点密码字段足够长varchar(255)为未来更强大的哈希算法如bcrypt留足空间。不使用明文存储password字段存储的是哈希值而非原始密码。关键字段唯一索引防止重复用户名注册。记录操作时间last_login_time,create_time,update_time用于审计和异常行为分析。3.2 权限表设计与关系实现基于角色的访问控制RBAC模型这是企业级授权的标准。-- 角色表 CREATE TABLE sys_role ( id bigint(20) NOT NULL AUTO_INCREMENT, role_name varchar(50) NOT NULL COMMENT 角色名如admin, cashier, stock_keeper, role_key varchar(100) NOT NULL COMMENT 角色权限字符串如system:admin, remark varchar(500) DEFAULT NULL COMMENT 备注, PRIMARY KEY (id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT角色表; -- 用户-角色关联表 CREATE TABLE sys_user_role ( user_id bigint(20) NOT NULL, role_id bigint(20) NOT NULL, PRIMARY KEY (user_id,role_id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT用户和角色关联表; -- 菜单权限表控制前端菜单和按钮 CREATE TABLE sys_menu ( id bigint(20) NOT NULL AUTO_INCREMENT, menu_name varchar(50) NOT NULL COMMENT 菜单名称, perms varchar(100) DEFAULT NULL COMMENT 权限标识如goods:list, goods:add, PRIMARY KEY (id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT菜单权限表; -- 角色-菜单关联表 CREATE TABLE sys_role_menu ( role_id bigint(20) NOT NULL, menu_id bigint(20) NOT NULL, PRIMARY KEY (role_id,menu_id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT角色和菜单关联表;通过这四张表可以实现灵活的权限控制用户属于角色角色拥有菜单权限。在代码中我们可以通过检查当前用户是否拥有某个perms如goods:add来决定是否允许其执行添加商品的操作。3.3 数据库连接安全配置在application.yml中配置数据源务必注意安全细节spring: datasource: driver-class-name: com.mysql.cj.jdbc.Driver url: jdbc:mysql://localhost:3306/supermarket_db?useUnicodetruecharacterEncodingUTF-8useSSLfalseserverTimezoneAsia/ShanghaiallowPublicKeyRetrievaltrue username: supermarket_app # 专用应用账号非root password: ${DB_PASSWORD:StrongPass123!} # 建议从环境变量读取 # MyBatis-Plus配置 mybatis-plus: configuration: log-impl: org.apache.ibatis.logging.stdout.StdOutImpl # 开发时查看SQL生产环境务必关闭 default-enum-type-handler: org.apache.ibatis.type.EnumOrdinalTypeHandler global-config: db-config: logic-delete-field: deleted # 逻辑删除字段名 logic-delete-value: 1 # 逻辑已删除值 logic-not-delete-value: 0 # 逻辑未删除值安全配置解析禁用SSL警告本地开发环境useSSLfalse生产环境必须设置为true并配置证书。专用数据库用户创建supermarket_app用户并只授予其操作supermarket_db库的必要权限SELECT, INSERT, UPDATE, DELETE禁止GRANT, DROP等权限。密码外部化使用${DB_PASSWORD}从环境变量读取密码避免密码硬编码在源码中。这是毕业设计答辩的加分项体现了安全意识。逻辑删除使用deleted字段标记删除而非物理删除防止误操作和数据丢失。4. 后端安全核心实现Spring Security MyBatis-Plus这是安全体系的核心代码层。4.1 密码加密存储绝对禁止明文存储密码。我们使用Spring Security提供的BCryptPasswordEncoder它是目前最推荐的密码哈希算法。// 文件路径src/main/java/com/yourcompany/supermarket/config/SecurityConfig.java 的一部分 import org.springframework.context.annotation.Bean; import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder; import org.springframework.security.crypto.password.PasswordEncoder; Configuration public class SecurityConfig { Bean public PasswordEncoder passwordEncoder() { // BCrypt 强度为10可根据服务器性能调整4-31 return new BCryptPasswordEncoder(10); } }在用户注册或修改密码时使用它进行加密// 在Service层 Service public class UserServiceImpl implements UserService { Autowired private PasswordEncoder passwordEncoder; Override public boolean register(User user) { // 对前端传来的明文密码进行加密 String encodedPassword passwordEncoder.encode(user.getPassword()); user.setPassword(encodedPassword); // ... 后续保存到数据库 return userMapper.insert(user) 0; } Override public boolean updatePassword(Long userId, String oldPassword, String newPassword) { User user userMapper.selectById(userId); // 1. 验证旧密码是否正确 if (!passwordEncoder.matches(oldPassword, user.getPassword())) { throw new RuntimeException(旧密码错误); } // 2. 加密新密码并更新 user.setPassword(passwordEncoder.encode(newPassword)); return userMapper.updateById(user) 0; } }为什么是BCrypt它自带盐值Salt能有效抵御彩虹表攻击且计算速度可调平衡安全性与性能。4.2 自定义UserDetailsService实现Spring Security通过UserDetailsService来加载用户信息。我们需要自定义实现从数据库查询用户及其权限。// 文件路径src/main/java/com/yourcompany/supermarket/security/CustomUserDetailsService.java Service public class CustomUserDetailsService implements UserDetailsService { Autowired private UserMapper userMapper; Autowired private MenuMapper menuMapper; // 用于查询用户权限 Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { // 1. 查询用户基本信息 LambdaQueryWrapperUser wrapper new LambdaQueryWrapper(); wrapper.eq(User::getUsername, username); User user userMapper.selectOne(wrapper); if (user null) { throw new UsernameNotFoundException(用户不存在); } if (user.getStatus() 0) { throw new DisabledException(该用户已被禁用); } // 2. 查询用户拥有的权限菜单perms ListString permissions menuMapper.selectPermsByUserId(user.getId()); // 3. 构建Spring Security需要的UserDetails对象 return new org.springframework.security.core.userdetails.User( user.getUsername(), user.getPassword(), // 数据库中是加密后的密码 getAuthorities(permissions) ); } private Collection? extends GrantedAuthority getAuthorities(ListString permissions) { ListSimpleGrantedAuthority authorities new ArrayList(); for (String perm : permissions) { if (perm ! null !perm.trim().isEmpty()) { authorities.add(new SimpleGrantedAuthority(perm)); } } return authorities; } }关键点这里将数据库中的权限字符串如goods:add转换为Spring Security的GrantedAuthority对象为后续的权限验证做准备。4.3 配置Spring Security安全规则这是控制“谁能访问什么”的核心配置。// 文件路径src/main/java/com/yourcompany/supermarket/config/SecurityConfig.java (完整示例) import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Bean; import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; import org.springframework.security.core.userdetails.UserDetailsService; import org.springframework.security.crypto.password.PasswordEncoder; Configuration EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { Autowired private UserDetailsService userDetailsService; Autowired private PasswordEncoder passwordEncoder; Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { // 告诉Spring Security使用我们自定义的UserDetailsService和密码编码器 auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder); } Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() // 静态资源允许所有人访问 .antMatchers(/css/**, /js/**, /images/**).permitAll() // 登录、注册、错误页面允许所有人访问 .antMatchers(/login, /register, /error).permitAll() // 拥有system:admin权限的用户可以访问/admin下的所有资源 .antMatchers(/admin/**).hasAuthority(system:admin) // 拥有goods:manage权限的用户可以访问商品管理相关API .antMatchers(/api/goods/**).hasAuthority(goods:manage) // 所有其他请求都需要认证登录 .anyRequest().authenticated() .and() .formLogin() .loginPage(/login) // 自定义登录页路径 .loginProcessingUrl(/doLogin) // 登录表单提交的路径 .defaultSuccessUrl(/index, true) // 登录成功后的跳转 .failureUrl(/login?errortrue) // 登录失败后的跳转 .permitAll() .and() .logout() .logoutUrl(/logout) // 注销URL .logoutSuccessUrl(/login?logouttrue) // 注销成功后的跳转 .permitAll() .and() .rememberMe() // 记住我功能 .tokenValiditySeconds(7 * 24 * 60 * 60) // 记住我有效期为7天 .and() .csrf().disable() // 开发阶段可暂时禁用CSRF生产环境必须开启 .headers().frameOptions().sameOrigin(); // 允许同源iframe嵌入用于某些报表页面 } }配置详解与安全建议权限控制链antMatchers()定义了URL模式与所需权限的映射顺序很重要具体的放前面通用的放后面。自定义登录页.loginPage(“/login”)指向我们自己的登录控制器而不是使用Spring Security默认的丑陋页面。CSRF防护.csrf().disable()在开发时为了方便可以关闭但在生产环境部署前必须启用CSRF防护并确保表单中携带_csrf令牌。会话管理可以进一步配置会话固定攻击防护、并发会话控制等。4.4 防止SQL注入MyBatis-Plus实践使用MyBatis-Plus时SQL注入风险主要来自不正确的动态SQL拼接。错误示例高风险// 危险直接拼接用户输入 String name request.getParameter(name); QueryWrapperUser wrapper new QueryWrapper(); wrapper.apply(username like % name %); // 拼接导致SQL注入 ListUser list userMapper.selectList(wrapper);正确做法使用预编译的QueryWrapper方法LambdaQueryWrapperUser wrapper new LambdaQueryWrapper(); wrapper.like(User::getUsername, name); // MyBatis-Plus会将其转换为预编译参数 ListUser list userMapper.selectList(wrapper);在XML Mapper中使用#{}而非${}!-- 安全 -- select idselectByCondition resultTypeUser SELECT * FROM sys_user WHERE username LIKE CONCAT(%, #{name}, %) /select !-- 危险 -- select idselectByConditionUnsafe resultTypeUser SELECT * FROM sys_user WHERE username LIKE %${name}% /select对用户输入进行严格的校验和过滤在Controller层或Service层对传入的参数进行合法性校验如长度、类型、特殊字符。5. 前端与接口层安全加固安全需要前后端协同。5.1 防止跨站脚本XSS攻击Thymeleaf模板引擎默认会对动态内容进行HTML转义这提供了基础的XSS防护。!-- 在Thymeleaf模板中 -- p th:text${userInput}/p !-- 安全内容会被转义 -- p th:utext${trustedHtml}/p !-- 危险除非你100%信任该内容 --额外措施输入校验在后端对用户提交的文本如商品描述、公告进行长度和内容校验过滤或转义,,,”,’等HTML特殊字符。可以使用org.jsoup.Jsoup库进行清理。import org.jsoup.Jsoup; import org.jsoup.safety.Safelist; public class XssFilterUtil { public static String clean(String html) { if (html null) return null; // 使用最严格的策略只保留文本 return Jsoup.clean(html, Safelist.none()); // 或者保留基本的文本格式如b, i, p根据业务需要选择Safelist // return Jsoup.clean(html, Safelist.basic()); } }设置HTTP安全头在Spring Boot配置中或通过过滤器添加X-XSS-Protection和Content-Security-Policy头为现代浏览器提供额外的保护。5.2 接口防越权与参数校验越权访问是业务逻辑漏洞的重灾区。必须在服务端对每一次操作进行权限和资源归属校验。水平越权防护示例用户只能操作自己的数据RestController RequestMapping(/api/order) public class OrderController { Autowired private OrderService orderService; GetMapping(/{id}) // PreAuthorize(hasAuthority(order:view)) // 方法级权限控制 public Result getOrder(PathVariable Long id, Principal principal) { // 1. 根据当前登录用户信息principal.getName()查询订单 Order order orderService.getById(id); // 2. 关键校验判断订单是否属于当前用户 if (order null || !order.getCreateBy().equals(principal.getName())) { // 即使订单存在但不属于当前用户也返回“未找到”或“无权访问” return Result.fail(订单不存在或无权访问); } return Result.success(order); } PutMapping(/{id}/cancel) public Result cancelOrder(PathVariable Long id, Principal principal) { // 同样需要先做归属校验 Order order orderService.getById(id); if (order null || !order.getCreateBy().equals(principal.getName())) { return Result.fail(无权操作此订单); } // 再进行业务状态校验如是否已支付 if (!PENDING.equals(order.getStatus())) { return Result.fail(当前订单状态不可取消); } // 执行取消逻辑 boolean success orderService.cancelOrder(id); return success ? Result.success() : Result.fail(取消失败); } }要点永远不要相信前端传递的任何关于资源所有权的标识如userId必须在后端根据当前会话重新查询和校验。5.3 使用Spring Validation进行参数校验防止非法参数进入业务逻辑。// 1. 实体类上添加校验注解 Data public class GoodsDTO { NotBlank(message 商品名称不能为空) Size(max 100, message 商品名称长度不能超过100字符) private String name; NotNull(message 商品分类不能为空) private Long categoryId; DecimalMin(value 0.0, inclusive false, message 价格必须大于0) private BigDecimal price; Min(value 0, message 库存不能为负数) private Integer stock; } // 2. Controller层使用Valid注解触发校验 PostMapping(/goods) public Result addGoods(RequestBody Valid GoodsDTO goodsDTO, BindingResult result) { if (result.hasErrors()) { // 将校验错误信息返回给前端 ListString errors result.getAllErrors() .stream() .map(ObjectError::getDefaultMessage) .collect(Collectors.toList()); return Result.fail(参数校验失败, errors); } // 校验通过执行业务逻辑 boolean success goodsService.addGoods(goodsDTO); return success ? Result.success() : Result.fail(添加失败); }6. 部署与运维安全注意事项项目开发完成部署上线时同样不能松懈。6.1 安全的配置文件管理绝对禁止将包含密码、密钥的application.yml或application.properties文件提交到Git等版本控制系统。使用环境变量如前文所示password: ${DB_PASSWORD}。使用外部配置文件在生产环境使用--spring.config.location参数指定外部的、有权限控制的配置文件。使用配置中心对于复杂项目可以考虑使用Apollo、Nacos等配置中心实现配置的加密存储和动态刷新。6.2 生产环境关键安全开关检查并调整application-prod.yml生产环境配置文件spring: # 关闭开发工具避免生产环境被攻击 devtools: restart: enabled: false # 关闭Swagger等API文档或严格限制访问IP # swagger-ui 等 server: # 使用HTTPS ssl: key-store: classpath:keystore.p12 key-store-password: ${KEYSTORE_PASS} key-store-type: PKCS12 key-alias: tomcat # 隐藏Server头信息减少信息暴露 error: include-stacktrace: never # 开启CSRF防护 security: enabled: true # 关闭MyBatis-Plus SQL日志 mybatis-plus: configuration: log-impl: org.apache.ibatis.logging.nologging.NoLoggingImpl6.3 数据库运维安全定期备份设置MySQL定时任务备份数据库。备份文件也应加密存储。最小权限原则为应用创建独立的数据库用户只授予INSERT,SELECT,UPDATE,DELETE,EXECUTE等必要权限。CREATE USER supermarket_app% IDENTIFIED BY StrongPassword123!; GRANT SELECT, INSERT, UPDATE, DELETE ON supermarket_db.* TO supermarket_app%; FLUSH PRIVILEGES;修改默认端口考虑将MySQL的默认端口3306改为其他端口。防火墙限制配置服务器防火墙只允许应用服务器IP访问数据库端口。7. 常见安全漏洞与排查清单在开发测试阶段可以对照以下清单进行自查。漏洞类型可能出现的场景自查与修复方法SQL注入动态SQL拼接使用${}QueryWrapper.apply拼接字符串。1. 使用#{}。2. 使用QueryWrapper/LambdaQueryWrapper的条件方法。3. 对输入进行严格校验。越权访问仅靠前端隐藏按钮后端接口未校验操作者与数据的关系。1. 每个涉及资源ID的接口后端必须校验当前用户是否有权操作该资源。2. 使用PreAuthorize注解进行方法级权限控制。CSRF攻击生产环境未开启CSRF防护或表单未携带CSRF Token。1. 确保Spring Security配置中.csrf()已启用。2. 表单中使用input type”hidden” th:name”${_csrf.parameterName}” th:value”${_csrf.token}”/。XSS攻击用户输入的内容在页面回显时未转义或使用了th:utext。1. 默认使用th:text。2. 对富文本内容使用JSoup等库进行白名单过滤。3. 设置CSP安全头。敏感信息泄露异常信息直接返回给前端暴露表结构或SQL片段。1. 全局异常处理返回友好的错误信息。2. 生产环境关闭server.error.include-stacktrace。3. 确保application.yml不包含密码。弱口令默认管理员密码为admin/123456。1. 强制首次登录修改密码。2. 密码复杂度策略长度、大小写、数字、特殊字符。3. 使用BCrypt加密。不安全的直接对象引用通过修改URL中的ID如/api/user/10改为/api/user/11访问他人数据。结合越权访问的防护后端必须做归属校验。8. 项目源码结构与核心代码讲解最后我们回顾一下整个安全增强型进销存管理系统的核心代码组织。你可以基于此结构进行开发。核心安全代码文件SecurityConfig.java安全配置总入口定义访问规则、登录/注销、密码编码器等。CustomUserDetailsService.java连接数据库与Spring Security的桥梁加载用户和权限。UserServiceImpl.java在用户服务中实现密码加密、修改密码的逻辑。XssFilterUtil.java可选提供XSS过滤的静态工具方法。GlobalExceptionHandler.java全局异常处理器避免敏感信息泄露。Result.java统一的API响应封装便于前端处理。一个安全的Controller示例// 文件路径src/main/java/com/yourcompany/supermarket/controller/GoodsController.java RestController RequestMapping(/api/goods) PreAuthorize(“hasRole(‘ADMIN’) or hasAuthority(‘goods:manage’)“) // 类级别权限控制 public class GoodsController { Autowired private GoodsService goodsService; PostMapping // 更细粒度控制需要‘goods:add’权限 PreAuthorize(“hasAuthority(‘goods:add’)“) public Result addGoods(RequestBody Valid GoodsDTO goodsDTO) { // Valid 自动触发参数校验 goodsService.addGoods(goodsDTO); return Result.success(“添加成功”); } GetMapping(“/{id}“) PreAuthorize(“hasAuthority(‘goods:view’)“) public Result getGoods(PathVariable Long id) { // 即使有查看权限也要确保数据可见性如是否下架 GoodsVO goods goodsService.getGoodsById(id); return Result.success(goods); } PutMapping(“/{id}/stock”) PreAuthorize(“hasAuthority(‘goods:update’)“) public Result updateStock(PathVariable Long id, RequestParam Min(0) Integer delta) { // 业务逻辑校验delta可为正入库或负出库但出库时不能导致库存为负 boolean success goodsService.updateStock(id, delta); return success ? Result.success() : Result.fail(“更新库存失败请检查库存数量”); } }通过以上八个部分的系统化设计与实践你的小型超市进销存管理系统将从“功能实现”升级为“安全可用的系统”。在毕业设计或课程设计答辩中你可以清晰地阐述这些安全考量这无疑会大大提升项目的深度和你的专业形象。记住安全不是一项功能而是一种贯穿始终的思维方式。从数据库设计的第一张表到最后一行部署命令都需要时刻绷紧安全这根弦。 Java进销存系统安全实战：从SQL注入防护到企业级RBAC权限设计
在开发一个完整的进销存管理系统时很多同学和初级开发者往往将重点放在功能实现上而忽略了系统的安全性。这导致项目虽然能跑起来但存在大量安全漏洞如SQL注入、越权访问、明文存储密码等这在毕业设计、课程设计或实际项目中都是致命的扣分项。本文将围绕一个基于Java的小型超市进销存管理系统从零开始系统性地讲解如何将安全设计融入开发的每一个环节。我们将从数据库安全、后端接口安全、前端防护到部署运维提供一个完整、可复现的安全开发实战指南并附带源码和关键代码讲解确保你的项目不仅功能完备更能达到企业级的安全基线。1. 系统安全概述与核心概念在开始编码之前我们必须明确“系统安全”在这个上下文中的具体含义。对于一个进销存管理系统安全不仅仅是设置一个登录密码而是一个贯穿数据、业务逻辑和基础设施的完整体系。1.1 什么是进销存管理系统的安全进销存管理系统的安全目标是确保商品、库存、供应商、客户以及交易流水等核心业务数据的机密性、完整性和可用性。机密性确保数据只能被授权的人员访问。例如普通收银员不能查看成本价和供应商信息仓库管理员不能修改销售订单。完整性防止数据被未授权地篡改。例如确保库存数量的加减计算准确不会被恶意程序或误操作破坏。可用性确保系统在需要时可正常使用。虽然毕业设计项目对高可用要求不高但需防范如弱密码爆破导致服务瘫痪等基础风险。1.2 常见安全威胁与我们的防御重点结合“小型超市”的业务场景我们需要重点关注以下几类威胁身份认证与授权漏洞弱口令、密码明文传输、会话固定、越权操作水平越权修改他人订单垂直越权普通员工执行管理员操作。注入攻击主要是SQL注入攻击者通过输入框提交恶意SQL片段窃取或破坏数据库数据。敏感数据泄露数据库备份文件、源码、配置文件含数据库密码被直接下载。逻辑漏洞如商品出库时前端传递负数量导致库存反向增加“无限库存”漏洞。跨站脚本XSS在商品名称、公告等位置注入恶意脚本盗取用户Cookie。我们的开发实战将围绕防御这些威胁展开。2. 环境准备与项目结构说明一个安全的项目从规范的环境和清晰的结构开始。这有助于代码管理和漏洞排查。2.1 技术栈与版本选择后端框架Spring Boot 2.7.x (一个稳定版本避免使用最新版可能的不兼容)安全框架Spring Security 5.7.x (集成身份认证和授权)持久层MyBatis-Plus 3.5.x (简化CRUD但需注意其Wrapper的SQL注入风险)数据库MySQL 8.0 或 5.7 (本文以MySQL为例与SQLServer思路相通)前端模板Thymeleaf 3.0.x (服务端渲染模板可天然缓解部分XSS)依赖管理MavenJDK版本JDK 8 或 JDK 11 (LTS长期支持版)关键点在pom.xml中固定依赖的版本号避免使用latest以确保环境一致性这也是安全的一环。2.2 项目目录结构规划一个清晰的结构是安全代码的基础。建议的Maven项目结构如下supermarket-inventory-security/ ├── src/ │ ├── main/ │ │ ├── java/ │ │ │ └── com/ │ │ │ └── yourcompany/ │ │ │ └── supermarket/ │ │ │ ├── SupermarketApplication.java # 启动类 │ │ │ ├── config/ # 配置类安全配置在此 │ │ │ ├── controller/ # 控制器接口层 │ │ │ ├── entity/ # 实体类对应数据库表 │ │ │ ├── mapper/ # MyBatis Mapper接口 │ │ │ ├── service/ # 业务逻辑层 │ │ │ │ └── impl/ │ │ │ ├── security/ # 安全相关核心类重点 │ │ │ │ ├── CustomUserDetailsService.java │ │ │ │ └── JwtTokenUtil.java # 如果采用JWT │ │ │ └── utils/ # 工具类加密、验证等 │ │ └── resources/ │ │ ├── static/ # 静态资源 │ │ ├── templates/ # 模板页面 │ │ ├── application.yml # 主配置文件 │ │ └── mapper/ # MyBatis XML文件 │ └── test/ # 测试代码 └── pom.xml安全启示security包独立出来凸显其重要性。所有安全相关的逻辑如密码加密、权限检查都应集中管理。3. 数据库安全设计与实践数据是系统的核心数据库是安全的第一道防线。3.1 安全的数据库表设计以用户表(sys_user)为例展示如何设计安全的表结构CREATE TABLE sys_user ( id bigint(20) NOT NULL AUTO_INCREMENT COMMENT 主键ID, username varchar(50) NOT NULL COMMENT 登录用户名, password varchar(255) NOT NULL COMMENT 加密后的密码, real_name varchar(50) DEFAULT NULL COMMENT 真实姓名, phone varchar(20) DEFAULT NULL COMMENT 手机号, email varchar(100) DEFAULT NULL COMMENT 邮箱, status tinyint(1) NOT NULL DEFAULT 1 COMMENT 状态1-正常0-禁用, last_login_time datetime DEFAULT NULL COMMENT 最后登录时间, create_time datetime NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT 创建时间, update_time datetime NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT 更新时间, PRIMARY KEY (id), UNIQUE KEY uk_username (username), -- 用户名唯一 KEY idx_status (status) -- 状态索引 ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT系统用户表;安全要点密码字段足够长varchar(255)为未来更强大的哈希算法如bcrypt留足空间。不使用明文存储password字段存储的是哈希值而非原始密码。关键字段唯一索引防止重复用户名注册。记录操作时间last_login_time,create_time,update_time用于审计和异常行为分析。3.2 权限表设计与关系实现基于角色的访问控制RBAC模型这是企业级授权的标准。-- 角色表 CREATE TABLE sys_role ( id bigint(20) NOT NULL AUTO_INCREMENT, role_name varchar(50) NOT NULL COMMENT 角色名如admin, cashier, stock_keeper, role_key varchar(100) NOT NULL COMMENT 角色权限字符串如system:admin, remark varchar(500) DEFAULT NULL COMMENT 备注, PRIMARY KEY (id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT角色表; -- 用户-角色关联表 CREATE TABLE sys_user_role ( user_id bigint(20) NOT NULL, role_id bigint(20) NOT NULL, PRIMARY KEY (user_id,role_id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT用户和角色关联表; -- 菜单权限表控制前端菜单和按钮 CREATE TABLE sys_menu ( id bigint(20) NOT NULL AUTO_INCREMENT, menu_name varchar(50) NOT NULL COMMENT 菜单名称, perms varchar(100) DEFAULT NULL COMMENT 权限标识如goods:list, goods:add, PRIMARY KEY (id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT菜单权限表; -- 角色-菜单关联表 CREATE TABLE sys_role_menu ( role_id bigint(20) NOT NULL, menu_id bigint(20) NOT NULL, PRIMARY KEY (role_id,menu_id) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT角色和菜单关联表;通过这四张表可以实现灵活的权限控制用户属于角色角色拥有菜单权限。在代码中我们可以通过检查当前用户是否拥有某个perms如goods:add来决定是否允许其执行添加商品的操作。3.3 数据库连接安全配置在application.yml中配置数据源务必注意安全细节spring: datasource: driver-class-name: com.mysql.cj.jdbc.Driver url: jdbc:mysql://localhost:3306/supermarket_db?useUnicodetruecharacterEncodingUTF-8useSSLfalseserverTimezoneAsia/ShanghaiallowPublicKeyRetrievaltrue username: supermarket_app # 专用应用账号非root password: ${DB_PASSWORD:StrongPass123!} # 建议从环境变量读取 # MyBatis-Plus配置 mybatis-plus: configuration: log-impl: org.apache.ibatis.logging.stdout.StdOutImpl # 开发时查看SQL生产环境务必关闭 default-enum-type-handler: org.apache.ibatis.type.EnumOrdinalTypeHandler global-config: db-config: logic-delete-field: deleted # 逻辑删除字段名 logic-delete-value: 1 # 逻辑已删除值 logic-not-delete-value: 0 # 逻辑未删除值安全配置解析禁用SSL警告本地开发环境useSSLfalse生产环境必须设置为true并配置证书。专用数据库用户创建supermarket_app用户并只授予其操作supermarket_db库的必要权限SELECT, INSERT, UPDATE, DELETE禁止GRANT, DROP等权限。密码外部化使用${DB_PASSWORD}从环境变量读取密码避免密码硬编码在源码中。这是毕业设计答辩的加分项体现了安全意识。逻辑删除使用deleted字段标记删除而非物理删除防止误操作和数据丢失。4. 后端安全核心实现Spring Security MyBatis-Plus这是安全体系的核心代码层。4.1 密码加密存储绝对禁止明文存储密码。我们使用Spring Security提供的BCryptPasswordEncoder它是目前最推荐的密码哈希算法。// 文件路径src/main/java/com/yourcompany/supermarket/config/SecurityConfig.java 的一部分 import org.springframework.context.annotation.Bean; import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder; import org.springframework.security.crypto.password.PasswordEncoder; Configuration public class SecurityConfig { Bean public PasswordEncoder passwordEncoder() { // BCrypt 强度为10可根据服务器性能调整4-31 return new BCryptPasswordEncoder(10); } }在用户注册或修改密码时使用它进行加密// 在Service层 Service public class UserServiceImpl implements UserService { Autowired private PasswordEncoder passwordEncoder; Override public boolean register(User user) { // 对前端传来的明文密码进行加密 String encodedPassword passwordEncoder.encode(user.getPassword()); user.setPassword(encodedPassword); // ... 后续保存到数据库 return userMapper.insert(user) 0; } Override public boolean updatePassword(Long userId, String oldPassword, String newPassword) { User user userMapper.selectById(userId); // 1. 验证旧密码是否正确 if (!passwordEncoder.matches(oldPassword, user.getPassword())) { throw new RuntimeException(旧密码错误); } // 2. 加密新密码并更新 user.setPassword(passwordEncoder.encode(newPassword)); return userMapper.updateById(user) 0; } }为什么是BCrypt它自带盐值Salt能有效抵御彩虹表攻击且计算速度可调平衡安全性与性能。4.2 自定义UserDetailsService实现Spring Security通过UserDetailsService来加载用户信息。我们需要自定义实现从数据库查询用户及其权限。// 文件路径src/main/java/com/yourcompany/supermarket/security/CustomUserDetailsService.java Service public class CustomUserDetailsService implements UserDetailsService { Autowired private UserMapper userMapper; Autowired private MenuMapper menuMapper; // 用于查询用户权限 Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { // 1. 查询用户基本信息 LambdaQueryWrapperUser wrapper new LambdaQueryWrapper(); wrapper.eq(User::getUsername, username); User user userMapper.selectOne(wrapper); if (user null) { throw new UsernameNotFoundException(用户不存在); } if (user.getStatus() 0) { throw new DisabledException(该用户已被禁用); } // 2. 查询用户拥有的权限菜单perms ListString permissions menuMapper.selectPermsByUserId(user.getId()); // 3. 构建Spring Security需要的UserDetails对象 return new org.springframework.security.core.userdetails.User( user.getUsername(), user.getPassword(), // 数据库中是加密后的密码 getAuthorities(permissions) ); } private Collection? extends GrantedAuthority getAuthorities(ListString permissions) { ListSimpleGrantedAuthority authorities new ArrayList(); for (String perm : permissions) { if (perm ! null !perm.trim().isEmpty()) { authorities.add(new SimpleGrantedAuthority(perm)); } } return authorities; } }关键点这里将数据库中的权限字符串如goods:add转换为Spring Security的GrantedAuthority对象为后续的权限验证做准备。4.3 配置Spring Security安全规则这是控制“谁能访问什么”的核心配置。// 文件路径src/main/java/com/yourcompany/supermarket/config/SecurityConfig.java (完整示例) import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Bean; import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; import org.springframework.security.core.userdetails.UserDetailsService; import org.springframework.security.crypto.password.PasswordEncoder; Configuration EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { Autowired private UserDetailsService userDetailsService; Autowired private PasswordEncoder passwordEncoder; Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { // 告诉Spring Security使用我们自定义的UserDetailsService和密码编码器 auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder); } Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() // 静态资源允许所有人访问 .antMatchers(/css/**, /js/**, /images/**).permitAll() // 登录、注册、错误页面允许所有人访问 .antMatchers(/login, /register, /error).permitAll() // 拥有system:admin权限的用户可以访问/admin下的所有资源 .antMatchers(/admin/**).hasAuthority(system:admin) // 拥有goods:manage权限的用户可以访问商品管理相关API .antMatchers(/api/goods/**).hasAuthority(goods:manage) // 所有其他请求都需要认证登录 .anyRequest().authenticated() .and() .formLogin() .loginPage(/login) // 自定义登录页路径 .loginProcessingUrl(/doLogin) // 登录表单提交的路径 .defaultSuccessUrl(/index, true) // 登录成功后的跳转 .failureUrl(/login?errortrue) // 登录失败后的跳转 .permitAll() .and() .logout() .logoutUrl(/logout) // 注销URL .logoutSuccessUrl(/login?logouttrue) // 注销成功后的跳转 .permitAll() .and() .rememberMe() // 记住我功能 .tokenValiditySeconds(7 * 24 * 60 * 60) // 记住我有效期为7天 .and() .csrf().disable() // 开发阶段可暂时禁用CSRF生产环境必须开启 .headers().frameOptions().sameOrigin(); // 允许同源iframe嵌入用于某些报表页面 } }配置详解与安全建议权限控制链antMatchers()定义了URL模式与所需权限的映射顺序很重要具体的放前面通用的放后面。自定义登录页.loginPage(“/login”)指向我们自己的登录控制器而不是使用Spring Security默认的丑陋页面。CSRF防护.csrf().disable()在开发时为了方便可以关闭但在生产环境部署前必须启用CSRF防护并确保表单中携带_csrf令牌。会话管理可以进一步配置会话固定攻击防护、并发会话控制等。4.4 防止SQL注入MyBatis-Plus实践使用MyBatis-Plus时SQL注入风险主要来自不正确的动态SQL拼接。错误示例高风险// 危险直接拼接用户输入 String name request.getParameter(name); QueryWrapperUser wrapper new QueryWrapper(); wrapper.apply(username like % name %); // 拼接导致SQL注入 ListUser list userMapper.selectList(wrapper);正确做法使用预编译的QueryWrapper方法LambdaQueryWrapperUser wrapper new LambdaQueryWrapper(); wrapper.like(User::getUsername, name); // MyBatis-Plus会将其转换为预编译参数 ListUser list userMapper.selectList(wrapper);在XML Mapper中使用#{}而非${}!-- 安全 -- select idselectByCondition resultTypeUser SELECT * FROM sys_user WHERE username LIKE CONCAT(%, #{name}, %) /select !-- 危险 -- select idselectByConditionUnsafe resultTypeUser SELECT * FROM sys_user WHERE username LIKE %${name}% /select对用户输入进行严格的校验和过滤在Controller层或Service层对传入的参数进行合法性校验如长度、类型、特殊字符。5. 前端与接口层安全加固安全需要前后端协同。5.1 防止跨站脚本XSS攻击Thymeleaf模板引擎默认会对动态内容进行HTML转义这提供了基础的XSS防护。!-- 在Thymeleaf模板中 -- p th:text${userInput}/p !-- 安全内容会被转义 -- p th:utext${trustedHtml}/p !-- 危险除非你100%信任该内容 --额外措施输入校验在后端对用户提交的文本如商品描述、公告进行长度和内容校验过滤或转义,,,”,’等HTML特殊字符。可以使用org.jsoup.Jsoup库进行清理。import org.jsoup.Jsoup; import org.jsoup.safety.Safelist; public class XssFilterUtil { public static String clean(String html) { if (html null) return null; // 使用最严格的策略只保留文本 return Jsoup.clean(html, Safelist.none()); // 或者保留基本的文本格式如b, i, p根据业务需要选择Safelist // return Jsoup.clean(html, Safelist.basic()); } }设置HTTP安全头在Spring Boot配置中或通过过滤器添加X-XSS-Protection和Content-Security-Policy头为现代浏览器提供额外的保护。5.2 接口防越权与参数校验越权访问是业务逻辑漏洞的重灾区。必须在服务端对每一次操作进行权限和资源归属校验。水平越权防护示例用户只能操作自己的数据RestController RequestMapping(/api/order) public class OrderController { Autowired private OrderService orderService; GetMapping(/{id}) // PreAuthorize(hasAuthority(order:view)) // 方法级权限控制 public Result getOrder(PathVariable Long id, Principal principal) { // 1. 根据当前登录用户信息principal.getName()查询订单 Order order orderService.getById(id); // 2. 关键校验判断订单是否属于当前用户 if (order null || !order.getCreateBy().equals(principal.getName())) { // 即使订单存在但不属于当前用户也返回“未找到”或“无权访问” return Result.fail(订单不存在或无权访问); } return Result.success(order); } PutMapping(/{id}/cancel) public Result cancelOrder(PathVariable Long id, Principal principal) { // 同样需要先做归属校验 Order order orderService.getById(id); if (order null || !order.getCreateBy().equals(principal.getName())) { return Result.fail(无权操作此订单); } // 再进行业务状态校验如是否已支付 if (!PENDING.equals(order.getStatus())) { return Result.fail(当前订单状态不可取消); } // 执行取消逻辑 boolean success orderService.cancelOrder(id); return success ? Result.success() : Result.fail(取消失败); } }要点永远不要相信前端传递的任何关于资源所有权的标识如userId必须在后端根据当前会话重新查询和校验。5.3 使用Spring Validation进行参数校验防止非法参数进入业务逻辑。// 1. 实体类上添加校验注解 Data public class GoodsDTO { NotBlank(message 商品名称不能为空) Size(max 100, message 商品名称长度不能超过100字符) private String name; NotNull(message 商品分类不能为空) private Long categoryId; DecimalMin(value 0.0, inclusive false, message 价格必须大于0) private BigDecimal price; Min(value 0, message 库存不能为负数) private Integer stock; } // 2. Controller层使用Valid注解触发校验 PostMapping(/goods) public Result addGoods(RequestBody Valid GoodsDTO goodsDTO, BindingResult result) { if (result.hasErrors()) { // 将校验错误信息返回给前端 ListString errors result.getAllErrors() .stream() .map(ObjectError::getDefaultMessage) .collect(Collectors.toList()); return Result.fail(参数校验失败, errors); } // 校验通过执行业务逻辑 boolean success goodsService.addGoods(goodsDTO); return success ? Result.success() : Result.fail(添加失败); }6. 部署与运维安全注意事项项目开发完成部署上线时同样不能松懈。6.1 安全的配置文件管理绝对禁止将包含密码、密钥的application.yml或application.properties文件提交到Git等版本控制系统。使用环境变量如前文所示password: ${DB_PASSWORD}。使用外部配置文件在生产环境使用--spring.config.location参数指定外部的、有权限控制的配置文件。使用配置中心对于复杂项目可以考虑使用Apollo、Nacos等配置中心实现配置的加密存储和动态刷新。6.2 生产环境关键安全开关检查并调整application-prod.yml生产环境配置文件spring: # 关闭开发工具避免生产环境被攻击 devtools: restart: enabled: false # 关闭Swagger等API文档或严格限制访问IP # swagger-ui 等 server: # 使用HTTPS ssl: key-store: classpath:keystore.p12 key-store-password: ${KEYSTORE_PASS} key-store-type: PKCS12 key-alias: tomcat # 隐藏Server头信息减少信息暴露 error: include-stacktrace: never # 开启CSRF防护 security: enabled: true # 关闭MyBatis-Plus SQL日志 mybatis-plus: configuration: log-impl: org.apache.ibatis.logging.nologging.NoLoggingImpl6.3 数据库运维安全定期备份设置MySQL定时任务备份数据库。备份文件也应加密存储。最小权限原则为应用创建独立的数据库用户只授予INSERT,SELECT,UPDATE,DELETE,EXECUTE等必要权限。CREATE USER supermarket_app% IDENTIFIED BY StrongPassword123!; GRANT SELECT, INSERT, UPDATE, DELETE ON supermarket_db.* TO supermarket_app%; FLUSH PRIVILEGES;修改默认端口考虑将MySQL的默认端口3306改为其他端口。防火墙限制配置服务器防火墙只允许应用服务器IP访问数据库端口。7. 常见安全漏洞与排查清单在开发测试阶段可以对照以下清单进行自查。漏洞类型可能出现的场景自查与修复方法SQL注入动态SQL拼接使用${}QueryWrapper.apply拼接字符串。1. 使用#{}。2. 使用QueryWrapper/LambdaQueryWrapper的条件方法。3. 对输入进行严格校验。越权访问仅靠前端隐藏按钮后端接口未校验操作者与数据的关系。1. 每个涉及资源ID的接口后端必须校验当前用户是否有权操作该资源。2. 使用PreAuthorize注解进行方法级权限控制。CSRF攻击生产环境未开启CSRF防护或表单未携带CSRF Token。1. 确保Spring Security配置中.csrf()已启用。2. 表单中使用input type”hidden” th:name”${_csrf.parameterName}” th:value”${_csrf.token}”/。XSS攻击用户输入的内容在页面回显时未转义或使用了th:utext。1. 默认使用th:text。2. 对富文本内容使用JSoup等库进行白名单过滤。3. 设置CSP安全头。敏感信息泄露异常信息直接返回给前端暴露表结构或SQL片段。1. 全局异常处理返回友好的错误信息。2. 生产环境关闭server.error.include-stacktrace。3. 确保application.yml不包含密码。弱口令默认管理员密码为admin/123456。1. 强制首次登录修改密码。2. 密码复杂度策略长度、大小写、数字、特殊字符。3. 使用BCrypt加密。不安全的直接对象引用通过修改URL中的ID如/api/user/10改为/api/user/11访问他人数据。结合越权访问的防护后端必须做归属校验。8. 项目源码结构与核心代码讲解最后我们回顾一下整个安全增强型进销存管理系统的核心代码组织。你可以基于此结构进行开发。核心安全代码文件SecurityConfig.java安全配置总入口定义访问规则、登录/注销、密码编码器等。CustomUserDetailsService.java连接数据库与Spring Security的桥梁加载用户和权限。UserServiceImpl.java在用户服务中实现密码加密、修改密码的逻辑。XssFilterUtil.java可选提供XSS过滤的静态工具方法。GlobalExceptionHandler.java全局异常处理器避免敏感信息泄露。Result.java统一的API响应封装便于前端处理。一个安全的Controller示例// 文件路径src/main/java/com/yourcompany/supermarket/controller/GoodsController.java RestController RequestMapping(/api/goods) PreAuthorize(“hasRole(‘ADMIN’) or hasAuthority(‘goods:manage’)“) // 类级别权限控制 public class GoodsController { Autowired private GoodsService goodsService; PostMapping // 更细粒度控制需要‘goods:add’权限 PreAuthorize(“hasAuthority(‘goods:add’)“) public Result addGoods(RequestBody Valid GoodsDTO goodsDTO) { // Valid 自动触发参数校验 goodsService.addGoods(goodsDTO); return Result.success(“添加成功”); } GetMapping(“/{id}“) PreAuthorize(“hasAuthority(‘goods:view’)“) public Result getGoods(PathVariable Long id) { // 即使有查看权限也要确保数据可见性如是否下架 GoodsVO goods goodsService.getGoodsById(id); return Result.success(goods); } PutMapping(“/{id}/stock”) PreAuthorize(“hasAuthority(‘goods:update’)“) public Result updateStock(PathVariable Long id, RequestParam Min(0) Integer delta) { // 业务逻辑校验delta可为正入库或负出库但出库时不能导致库存为负 boolean success goodsService.updateStock(id, delta); return success ? Result.success() : Result.fail(“更新库存失败请检查库存数量”); } }通过以上八个部分的系统化设计与实践你的小型超市进销存管理系统将从“功能实现”升级为“安全可用的系统”。在毕业设计或课程设计答辩中你可以清晰地阐述这些安全考量这无疑会大大提升项目的深度和你的专业形象。记住安全不是一项功能而是一种贯穿始终的思维方式。从数据库设计的第一张表到最后一行部署命令都需要时刻绷紧安全这根弦。