简介面向高校毕业设计、课程设计与期末大作业场景这是一份基于SSMSpringSpringMVCMyBatis框架的校园反诈骗微信小程序完整源码案例后端使用Java实现服务接口前端包含微信小程序与Vue管理页面可快速搭建防骗资讯、实时预警、用户反馈、互动社区等核心功能模块。压缩包共897个文件涵盖112个java源码、104个js脚本、97个vue组件、238个png图片资源、21个wxml页面及2个sql数据库脚本整体约40.26MB并附带1-install.bat等安装运行脚本便于直接部署调试。资源已有164人学习特别适宜希望参考SSM整合流程、小程序与后端API交互方式及反诈骗业务数据表设计的开发者可作为毕业设计参考、期末大作业原型或学习用完整项目模板。1. 校园反诈骗微信小程序的设计与开发为什么后端也该早点介入校园反诈骗微信小程序的项目难点往往不在前端页面而在后端能不能把“学生举报—预警推送—管理端核查—效果统计”这条闭环串起来。只靠静态页面和本地数据小程序上线后既没法知道哪些学院发案高也没法判断宣传内容有没有被读完。SSM 后端在这里承担的不只是增删改查还有登录身份、举报流转和管理端统计。下面按一个可交付的案例来拆工程骨架怎么切、反诈业务表怎么设计、code 换 token 怎么落、举报和文章接口怎么约定、管理端统计怎么做最后给出本地联调和改源码的验证顺序。适合正在做毕业设计或接手校园服务端项目的开发同学。2. 用 SSM 搭校园反诈小程序的后端骨架工程结构、数据表和登录鉴权SSM 是老组合但在校园这类交付场景里依然常见前端上传到 Nginx后端打 war 包丢进 Tomcat数据库用 MySQL新同学接手也容易看懂。很多团队问要不要直接上 Spring Boot如果项目允许用 Boot 更省事但如果你拿到的案例是 SSM还是先按 SSM 的约定把 web.xml、spring-mvc.xml、mybatis-config.xml 理清楚后面改源码才不慌。2.1 先切好包名和 Maven 依赖SSM 的最小可行性配置项目名可以叫 campus-antifraud基础包用 com.campus.antifraud下面按 controller、service、mapper、pojo、interceptor、config 分包。SSM 与 Spring Boot 最大的不同是web.xml少了会直接启动报错依赖也建议在 pom 里锁住版本。以下是一份足够跑通的依赖片段properties spring.version5.3.23/spring.version mybatis.version3.5.10/mybatis.version /properties dependencies dependency groupIdorg.springframework/groupId artifactIdspring-webmvc/artifactId version${spring.version}/version /dependency dependency groupIdorg.springframework/groupId artifactIdspring-jdbc/artifactId version${spring.version}/version /dependency dependency groupIdorg.mybatis/groupId artifactIdmybatis/artifactId version${mybatis.version}/version /dependency dependency groupIdorg.mybatis/groupId artifactIdmybatis-spring/artifactId version2.0.7/version /dependency dependency groupIdmysql/groupId artifactIdmysql-connector-java/artifactId version8.0.31/version /dependency dependency groupIdcom.alibaba/groupId artifactIdfastjson/artifactId version1.2.83/version /dependency /dependencies这里 spring-webmvc 和 spring-jdbc 版本必须一致否则容器装配时会出现 NoSuchMethodError。mybatis-spring 负责把 SqlSessionFactory 交给 Spring 托管Mapper 接口扫描后可以直接注入。fastjson 用来处理小程序提交的 JSON 和微信接口响应也可以换成 Jackson但要注意RequestBody序列化配置。实际开发时还要引入javax.servlet-apiscope 为 provided和 commons-fileupload 处理图片上传。框架版本不必追求最新校园反诈这种系统主要看重稳定。2.2 反诈业务需要哪几张表用户、举报、文章和公告SSM 项目里表结构写好后后端接口基本定了一半。校园反诈骗微信小程序最少要四张业务表常见设计如下表名用途关键字段tb_user学生和管理员信息id, openid, nickname, college_id, role, create_timetb_report举报记录id, user_id, type, phone, img_url, description, status, create_timetb_article反诈知识文章id, title, content, category, read_count, status, publish_timetb_notice反诈预警公告id, title, content, level, create_timetb_user.role建议用 0 表示学生、1 表示管理员管理员账号用单独脚本创建不要在注册接口放开。tb_report.status用 0 待核查、1 已联系、2 已归档管理端看到待核查记录时优先处理。img_url不要存 base64一张举报图片少则几百 KB存库会让列表查询和备份都变慢后端收到 MultipartFile 后写磁盘数据库只存访问路径。字段命名尽量与前端约定一致比如create_time在 MyBatis 开启mapUnderscoreToCamelCase后会自动映射成 createTime管理端写统计 SQL 时能少踩很多坑。2.3 登录不写 session用 code 换 token再把用户落库微信小程序自带的登录态不适合持久化使用常见做法是wx.login拿到临时 code后端拿着 code 向微信接口换取 openid再签发出项目自己的 token。这也是前后端分离项目实战里最常考到的“微信小程序用 code 换 token”流程。后端接口可以这样写RestController RequestMapping(/api/auth) public class AuthController { Autowired private UserMapper userMapper; Autowired private WxConfig wxConfig; PostMapping(/login) public Result login(RequestBody LoginRequest request) { // 临时 code 一次性有效接口地址固定 String url https://api.weixin.qq.com/sns/jscode2session?appid wxConfig.getAppId() secret wxConfig.getAppSecret() js_code request.getCode() grant_typeauthorization_code; JSONObject response HttpUtil.getJson(url); if (response.getIntValue(errcode) ! 0) { return Result.error(400, 微信登录失败); } String openid response.getString(openid); User user userMapper.findByOpenid(openid); if (user null) { user new User(); user.setOpenid(openid); user.setNickname(微信用户); user.setRole(0); userMapper.insert(user); } String token JwtUtil.createToken(user.getId(), user.getRole()); return Result.ok(new LoginResponse(token, user)); } }这段代码有四个关键点。第一js_code只能使用一次前端不能用缓存 code 去请求两次以上。第二appid和secret放在 property 文件里不要写进前端。第三接口返回里不要带 openidopenid 属于身份信息只需要后端使用。第四token 要带过期时间学生端推荐 7 天管理端推荐 2 小时以免手机丢失后 token 长期有效。拿到 token 后小程序把它放进请求头Authorization后续接口拦截器只解析这个头不再依赖微信 session。3. 小程序端反诈功能落地举报提交、文章列表和预警公告的接口设计后端登录做好后就开始碰业务接口。校园反诈小程序用户路径很清晰先看反诈知识再判断自己遇到的情况是否属于诈骗然后举报异常信息管理员从管理端看到举报电话或线下处理把状态从待核查改成已归档。3.1 请求统一封装token 和错误码收敛到同一个文件小程序端直接用wx.request没有问题但项目页面一多每次都要写 token 和错误处理后面维护成本会很高。常见做法是封装一个utils/request.js把 baseURL、Authorization、code 判断统一放在里面// utils/request.js const BASE_URL http://192.168.1.20:8080/campus-antifraud/api; function request(path, method GET, data {}) { return new Promise((resolve, reject) { wx.request({ url: ${BASE_URL}${path}, method, data, header: { Content-Type: application/json, Authorization: wx.getStorageSync(token) || }, success: (res) { // 后端统一返回 { code, msg, data } if (res.data.code 0) { resolve(res.data.data); } else if (res.data.code 401) { wx.removeStorageSync(token); wx.navigateTo({ url: /pages/login/login }); reject(new Error(res.data.msg)); } else { wx.showToast({ title: res.data.msg, icon: none }); reject(new Error(res.data.msg)); } }, fail: reject }); }); } module.exports { request, BASE_URL };这样做的原因是把登录过期和业务错误分开处理。code401时统一跳登录业务错误只做 toast 提示。请求方法默认 GET但上传图片时不要走这个封装因为wx.uploadFile的请求格式和 request 不一样。3.2 举报提交先传图片再传文本的两步接口举报是敏感行为接口需要做到“图片能传、描述必填、类型可选”。建议前端先调上传接口拿文件 URL再提交举报内容不要一次性把 base64 塞进 JSON。接口约定如下操作HTTP接口请求格式上传截图POST/api/report/uploadmultipart/form-data字段名 file提交举报POST/api/report/submitJSON 字段 type、phone、imgUrl、description我的举报记录GET/api/report/my?page1size10分页参数公告列表GET/api/notice/list?page1size10分页参数对应后端核心代码RestController RequestMapping(/api/report) public class ReportController { Autowired private ReportMapper reportMapper; PostMapping(/upload) public Result upload(RequestParam(file) MultipartFile file) throws IOException { if (file.isEmpty() || file.getSize() 5 * 1024 * 1024) { return Result.error(400, 图片为空或超过5MB); } String ext StringUtils.getFilenameExtension(file.getOriginalFilename()); String filename System.currentTimeMillis() _ UUID.randomUUID() . ext; file.transferTo(new File(uploadConfig.getDir(), filename)); return Result.ok(/files/ filename); } PostMapping(/submit) public Result submit(RequestBody ReportVO report, HttpServletRequest request) { Integer userId TokenUtil.getUserId(request.getHeader(Authorization)); report.setUserId(userId); report.setStatus(0); reportMapper.insert(report); return Result.ok(report.getId()); } }上传接口有两个容易被忽略的细节file.transferTo的目录必须已存在否则抛 IOException建议在PostConstruct里创建目录。ReportVO里只接收 type、phone、imgUrl、description不要把 openid 放在请求体里后端从 token 取用户 id 更安全。举报状态置 0 后管理端轮询待核查列表即可处理。3.3 反诈文章与预警公告列表、详情和搜索接口公开但可统计反诈知识库不需要登录才能看所以文章和公告列表要从拦截器白名单里放出去。文章列表接口建议带上 category 和分页具体 SQL 写到 Mapper XML 里更容易维护select idselectArticlePage resultTypeArticleVO SELECT id, title, category, read_count, publish_time FROM tb_article where status 1 if testcategory ! null and category ! AND category #{category} /if /where ORDER BY publish_time DESC LIMIT #{offset}, #{size} /select这里 category 可以用“刷单返利”“冒充熟人”“注销校园贷”等校园高发类型前端做成 Tab 切换。列表页不查 content 字段详情页再根据 id 查减少小程序首屏流量。read_count 在详情接口里自增对应语句是UPDATE tb_article SET read_count read_count 1 WHERE id #{id}这一点能让管理端判断哪类文章真正被学生看过。搜索功能可以用AND title LIKE CONCAT(%, #{keyword}, %)但 keyword 必须用#{}预编译不能字符串拼接否则容易产生 SQL 注入。4. SSM 后端管理端的权限与统计反诈数据不能只进不出反诈小程序如果只有学生端没有管理端就只是“文章浏览器”。真正让系统产生价值的是管理端每天能看到新增举报、按学院排名、按类型统计知道哪个宣传点效果差。4.1 用拦截器区分学生和管理员权限SSM 项目一般不引入 Spring Security一个 HandlerInterceptor 就够用。先从请求头解析 token 并写入 request attribute方便 Controller 直接获取public class AuthInterceptor implements HandlerInterceptor { Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { String token request.getHeader(Authorization); Integer userId TokenUtil.getUserId(token); if (userId null) { response.setStatus(401); response.setContentType(application/json;charsetUTF-8); response.getWriter().write({\code\:401,\msg\:\登录已过期\}); return false; } request.setAttribute(userId, userId); request.setAttribute(role, TokenUtil.getRole(token)); return true; } }在 spring-mvc.xml 里配置拦截路径mvc:interceptors mvc:interceptor mvc:mapping path/api/**/ mvc:exclude-mapping path/api/auth/login/ mvc:exclude-mapping path/api/article/**/ mvc:exclude-mapping path/api/notice/**/ bean classcom.campus.antifraud.interceptor.AuthInterceptor/ /mvc:interceptor /mvc:interceptors拦截器只是身份校验并没有解决角色校验。管理员接口建议单独以/api/admin/**开头在 Controller 里读取request.getAttribute(role)非管理员直接返回 403。更规范的做法是自定义RequireRole(1)注解再在拦截器里反射读取但小项目这样做容易过度设计。先按下面的角色边界收紧接口角色可访问区块接口示例学生举报、文章、公告/api/report/submit、/api/article/list管理员举报处理、文章管理、统计报表/api/admin/report/audit、/api/admin/stats/overview匿名登录、公开文章/公告/api/auth/login、/api/notice/list4.2 按学院和诈骗类型分组统计SQL 的 GROUP BY 比后端循环快得多很多同学做统计时先把全表查出来进 Java 循环数据量一上来就会卡。反诈报表的常见需求是按时间范围统计每个学院的举报量和处理量一条 SQL 就够了SELECT IFNULL(u.college_id, -1) AS college_id, r.type, COUNT(r.id) AS report_count, COUNT(DISTINCT r.user_id) AS reporter_count, SUM(CASE WHEN r.status IN (1, 2) THEN 1 ELSE 0 END) AS handled_count FROM tb_report r LEFT JOIN tb_user u ON r.user_id u.id WHERE r.create_time #{beginTime} AND r.create_time #{endTime} GROUP BY u.college_id, r.type ORDER BY report_count DESC这个 SQL 的IFNULL(u.college_id, -1)用来接收未填写学院的老用户COUNT(DISTINCT r.user_id)表示举报人数避免一个人提交多条时影响整体判断。主表数据变大时要给 create_time 建普通索引组合索引(create_time, type)对范围查询收益更明显。如果管理端要做雷达图可以把 type 固定成几个枚举值统计维度少、命中高前端不用做复杂动态配置。这里不建议在 SQL 里用DATE_FORMAT做小时级分组格式化函数会让索引失效日维度统计可以接受。4.3 PageHelper 分页和两个常踩的坑后台管理列表不能全量返回。SSM 项目用 PageHelper 比手写 LIMIT 省事但有两个坑。第一个是startPage后必须紧跟 Mapper 方法调用中间不能有任何其他查询第二个是 PageHelper 分页只对第一条 SQL 生效如果 Mapper 里有多条 SQL要拆开Service public class ReportAdminService { Autowired private ReportMapper reportMapper; public PageInfoReportVO pageReport(ReportQuery query, int pageNum, int pageSize) { PageHelper.startPage(pageNum, pageSize); ListReportVO list reportMapper.selectReportPage(query); return new PageInfo(list); } }上线后如果发现 count 查询特别慢可以在 mybatis-config.xml 里给 PageHelper 设置reasonabletrue和supportMethodsArgumentstrue。reasonable让页码越界时自动修正supportMethodsArguments让分页参数可以直接传给 Mapper 方法参数对象两者作用不同别混着改。5. 联调验证与源码改造让反诈小程序先跑通再交付5.1 本地联调地址、开发者工具和真机连不上时的排查本地联调最常遇到的是路径和 IP 问题。后端 war 包部署在 Tomcat启动后先打开/campus-antifraud/api/notice/list看到 JSON 再动小程序端。微信开发者工具里本地开发阶段勾选“不校验合法域名”请求地址写 localhost 或局域网 IP。真机预览时不能使用 localhost要把 BASE_URL 改成电脑的局域网 IP同时保证手机和电脑在同一个网段如果连不上先关掉电脑防火墙或查一下 Tomcat 端口有没有被放行。前后端分离项目实战里最容易出问题的不是业务逻辑而是跨域和本地 IP 配置。5.2 用 curl 验证登录与举报闭环验证接口不要每次用小程序点后台联调更快。先用测试 code 登录curl -X POST http://localhost:8080/campus-antifraud/api/auth/login \ -H Content-Type: application/json \ -d {code:test_code}如果返回 token说明微信接口配置正确。再带上 token 提交举报curl -X POST http://localhost:8080/campus-antifraud/api/report/upload \ -H Authorization: 上一步返回值里的token \ -F filescreenshot.jpg最后请求管理端统计接口检查 status 变化确认整条链路没有断。小程序端还要做三类异常验证token 过期后会不会跳登录、上传非图片文件时有没有被拦截、文章搜索关键字为空时会不会返回全量数据。5.3 拿到源码案例后先改的三个文件拿到现成源码案例先不要急着跑全部功能改三个地方就够了。第一改db.properties里的数据库链接把 localhost 和密码换成自己的第二改wx.properties里的 appid 和 secret否则登录会拿到 40029 错误第三改上传目录指向本机绝对路径Windows 下比如D:/uploadLinux 下比如/data/upload。这三个配置对应数据库、微信登录、文件存储三条线全部改完后基本就能把整个校园反诈小程序跑起来。本文还有配套的精品资源点击获取 SSM框架搭建校园反诈骗微信小程序后端：登录鉴权与举报统计实战
简介面向高校毕业设计、课程设计与期末大作业场景这是一份基于SSMSpringSpringMVCMyBatis框架的校园反诈骗微信小程序完整源码案例后端使用Java实现服务接口前端包含微信小程序与Vue管理页面可快速搭建防骗资讯、实时预警、用户反馈、互动社区等核心功能模块。压缩包共897个文件涵盖112个java源码、104个js脚本、97个vue组件、238个png图片资源、21个wxml页面及2个sql数据库脚本整体约40.26MB并附带1-install.bat等安装运行脚本便于直接部署调试。资源已有164人学习特别适宜希望参考SSM整合流程、小程序与后端API交互方式及反诈骗业务数据表设计的开发者可作为毕业设计参考、期末大作业原型或学习用完整项目模板。1. 校园反诈骗微信小程序的设计与开发为什么后端也该早点介入校园反诈骗微信小程序的项目难点往往不在前端页面而在后端能不能把“学生举报—预警推送—管理端核查—效果统计”这条闭环串起来。只靠静态页面和本地数据小程序上线后既没法知道哪些学院发案高也没法判断宣传内容有没有被读完。SSM 后端在这里承担的不只是增删改查还有登录身份、举报流转和管理端统计。下面按一个可交付的案例来拆工程骨架怎么切、反诈业务表怎么设计、code 换 token 怎么落、举报和文章接口怎么约定、管理端统计怎么做最后给出本地联调和改源码的验证顺序。适合正在做毕业设计或接手校园服务端项目的开发同学。2. 用 SSM 搭校园反诈小程序的后端骨架工程结构、数据表和登录鉴权SSM 是老组合但在校园这类交付场景里依然常见前端上传到 Nginx后端打 war 包丢进 Tomcat数据库用 MySQL新同学接手也容易看懂。很多团队问要不要直接上 Spring Boot如果项目允许用 Boot 更省事但如果你拿到的案例是 SSM还是先按 SSM 的约定把 web.xml、spring-mvc.xml、mybatis-config.xml 理清楚后面改源码才不慌。2.1 先切好包名和 Maven 依赖SSM 的最小可行性配置项目名可以叫 campus-antifraud基础包用 com.campus.antifraud下面按 controller、service、mapper、pojo、interceptor、config 分包。SSM 与 Spring Boot 最大的不同是web.xml少了会直接启动报错依赖也建议在 pom 里锁住版本。以下是一份足够跑通的依赖片段properties spring.version5.3.23/spring.version mybatis.version3.5.10/mybatis.version /properties dependencies dependency groupIdorg.springframework/groupId artifactIdspring-webmvc/artifactId version${spring.version}/version /dependency dependency groupIdorg.springframework/groupId artifactIdspring-jdbc/artifactId version${spring.version}/version /dependency dependency groupIdorg.mybatis/groupId artifactIdmybatis/artifactId version${mybatis.version}/version /dependency dependency groupIdorg.mybatis/groupId artifactIdmybatis-spring/artifactId version2.0.7/version /dependency dependency groupIdmysql/groupId artifactIdmysql-connector-java/artifactId version8.0.31/version /dependency dependency groupIdcom.alibaba/groupId artifactIdfastjson/artifactId version1.2.83/version /dependency /dependencies这里 spring-webmvc 和 spring-jdbc 版本必须一致否则容器装配时会出现 NoSuchMethodError。mybatis-spring 负责把 SqlSessionFactory 交给 Spring 托管Mapper 接口扫描后可以直接注入。fastjson 用来处理小程序提交的 JSON 和微信接口响应也可以换成 Jackson但要注意RequestBody序列化配置。实际开发时还要引入javax.servlet-apiscope 为 provided和 commons-fileupload 处理图片上传。框架版本不必追求最新校园反诈这种系统主要看重稳定。2.2 反诈业务需要哪几张表用户、举报、文章和公告SSM 项目里表结构写好后后端接口基本定了一半。校园反诈骗微信小程序最少要四张业务表常见设计如下表名用途关键字段tb_user学生和管理员信息id, openid, nickname, college_id, role, create_timetb_report举报记录id, user_id, type, phone, img_url, description, status, create_timetb_article反诈知识文章id, title, content, category, read_count, status, publish_timetb_notice反诈预警公告id, title, content, level, create_timetb_user.role建议用 0 表示学生、1 表示管理员管理员账号用单独脚本创建不要在注册接口放开。tb_report.status用 0 待核查、1 已联系、2 已归档管理端看到待核查记录时优先处理。img_url不要存 base64一张举报图片少则几百 KB存库会让列表查询和备份都变慢后端收到 MultipartFile 后写磁盘数据库只存访问路径。字段命名尽量与前端约定一致比如create_time在 MyBatis 开启mapUnderscoreToCamelCase后会自动映射成 createTime管理端写统计 SQL 时能少踩很多坑。2.3 登录不写 session用 code 换 token再把用户落库微信小程序自带的登录态不适合持久化使用常见做法是wx.login拿到临时 code后端拿着 code 向微信接口换取 openid再签发出项目自己的 token。这也是前后端分离项目实战里最常考到的“微信小程序用 code 换 token”流程。后端接口可以这样写RestController RequestMapping(/api/auth) public class AuthController { Autowired private UserMapper userMapper; Autowired private WxConfig wxConfig; PostMapping(/login) public Result login(RequestBody LoginRequest request) { // 临时 code 一次性有效接口地址固定 String url https://api.weixin.qq.com/sns/jscode2session?appid wxConfig.getAppId() secret wxConfig.getAppSecret() js_code request.getCode() grant_typeauthorization_code; JSONObject response HttpUtil.getJson(url); if (response.getIntValue(errcode) ! 0) { return Result.error(400, 微信登录失败); } String openid response.getString(openid); User user userMapper.findByOpenid(openid); if (user null) { user new User(); user.setOpenid(openid); user.setNickname(微信用户); user.setRole(0); userMapper.insert(user); } String token JwtUtil.createToken(user.getId(), user.getRole()); return Result.ok(new LoginResponse(token, user)); } }这段代码有四个关键点。第一js_code只能使用一次前端不能用缓存 code 去请求两次以上。第二appid和secret放在 property 文件里不要写进前端。第三接口返回里不要带 openidopenid 属于身份信息只需要后端使用。第四token 要带过期时间学生端推荐 7 天管理端推荐 2 小时以免手机丢失后 token 长期有效。拿到 token 后小程序把它放进请求头Authorization后续接口拦截器只解析这个头不再依赖微信 session。3. 小程序端反诈功能落地举报提交、文章列表和预警公告的接口设计后端登录做好后就开始碰业务接口。校园反诈小程序用户路径很清晰先看反诈知识再判断自己遇到的情况是否属于诈骗然后举报异常信息管理员从管理端看到举报电话或线下处理把状态从待核查改成已归档。3.1 请求统一封装token 和错误码收敛到同一个文件小程序端直接用wx.request没有问题但项目页面一多每次都要写 token 和错误处理后面维护成本会很高。常见做法是封装一个utils/request.js把 baseURL、Authorization、code 判断统一放在里面// utils/request.js const BASE_URL http://192.168.1.20:8080/campus-antifraud/api; function request(path, method GET, data {}) { return new Promise((resolve, reject) { wx.request({ url: ${BASE_URL}${path}, method, data, header: { Content-Type: application/json, Authorization: wx.getStorageSync(token) || }, success: (res) { // 后端统一返回 { code, msg, data } if (res.data.code 0) { resolve(res.data.data); } else if (res.data.code 401) { wx.removeStorageSync(token); wx.navigateTo({ url: /pages/login/login }); reject(new Error(res.data.msg)); } else { wx.showToast({ title: res.data.msg, icon: none }); reject(new Error(res.data.msg)); } }, fail: reject }); }); } module.exports { request, BASE_URL };这样做的原因是把登录过期和业务错误分开处理。code401时统一跳登录业务错误只做 toast 提示。请求方法默认 GET但上传图片时不要走这个封装因为wx.uploadFile的请求格式和 request 不一样。3.2 举报提交先传图片再传文本的两步接口举报是敏感行为接口需要做到“图片能传、描述必填、类型可选”。建议前端先调上传接口拿文件 URL再提交举报内容不要一次性把 base64 塞进 JSON。接口约定如下操作HTTP接口请求格式上传截图POST/api/report/uploadmultipart/form-data字段名 file提交举报POST/api/report/submitJSON 字段 type、phone、imgUrl、description我的举报记录GET/api/report/my?page1size10分页参数公告列表GET/api/notice/list?page1size10分页参数对应后端核心代码RestController RequestMapping(/api/report) public class ReportController { Autowired private ReportMapper reportMapper; PostMapping(/upload) public Result upload(RequestParam(file) MultipartFile file) throws IOException { if (file.isEmpty() || file.getSize() 5 * 1024 * 1024) { return Result.error(400, 图片为空或超过5MB); } String ext StringUtils.getFilenameExtension(file.getOriginalFilename()); String filename System.currentTimeMillis() _ UUID.randomUUID() . ext; file.transferTo(new File(uploadConfig.getDir(), filename)); return Result.ok(/files/ filename); } PostMapping(/submit) public Result submit(RequestBody ReportVO report, HttpServletRequest request) { Integer userId TokenUtil.getUserId(request.getHeader(Authorization)); report.setUserId(userId); report.setStatus(0); reportMapper.insert(report); return Result.ok(report.getId()); } }上传接口有两个容易被忽略的细节file.transferTo的目录必须已存在否则抛 IOException建议在PostConstruct里创建目录。ReportVO里只接收 type、phone、imgUrl、description不要把 openid 放在请求体里后端从 token 取用户 id 更安全。举报状态置 0 后管理端轮询待核查列表即可处理。3.3 反诈文章与预警公告列表、详情和搜索接口公开但可统计反诈知识库不需要登录才能看所以文章和公告列表要从拦截器白名单里放出去。文章列表接口建议带上 category 和分页具体 SQL 写到 Mapper XML 里更容易维护select idselectArticlePage resultTypeArticleVO SELECT id, title, category, read_count, publish_time FROM tb_article where status 1 if testcategory ! null and category ! AND category #{category} /if /where ORDER BY publish_time DESC LIMIT #{offset}, #{size} /select这里 category 可以用“刷单返利”“冒充熟人”“注销校园贷”等校园高发类型前端做成 Tab 切换。列表页不查 content 字段详情页再根据 id 查减少小程序首屏流量。read_count 在详情接口里自增对应语句是UPDATE tb_article SET read_count read_count 1 WHERE id #{id}这一点能让管理端判断哪类文章真正被学生看过。搜索功能可以用AND title LIKE CONCAT(%, #{keyword}, %)但 keyword 必须用#{}预编译不能字符串拼接否则容易产生 SQL 注入。4. SSM 后端管理端的权限与统计反诈数据不能只进不出反诈小程序如果只有学生端没有管理端就只是“文章浏览器”。真正让系统产生价值的是管理端每天能看到新增举报、按学院排名、按类型统计知道哪个宣传点效果差。4.1 用拦截器区分学生和管理员权限SSM 项目一般不引入 Spring Security一个 HandlerInterceptor 就够用。先从请求头解析 token 并写入 request attribute方便 Controller 直接获取public class AuthInterceptor implements HandlerInterceptor { Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { String token request.getHeader(Authorization); Integer userId TokenUtil.getUserId(token); if (userId null) { response.setStatus(401); response.setContentType(application/json;charsetUTF-8); response.getWriter().write({\code\:401,\msg\:\登录已过期\}); return false; } request.setAttribute(userId, userId); request.setAttribute(role, TokenUtil.getRole(token)); return true; } }在 spring-mvc.xml 里配置拦截路径mvc:interceptors mvc:interceptor mvc:mapping path/api/**/ mvc:exclude-mapping path/api/auth/login/ mvc:exclude-mapping path/api/article/**/ mvc:exclude-mapping path/api/notice/**/ bean classcom.campus.antifraud.interceptor.AuthInterceptor/ /mvc:interceptor /mvc:interceptors拦截器只是身份校验并没有解决角色校验。管理员接口建议单独以/api/admin/**开头在 Controller 里读取request.getAttribute(role)非管理员直接返回 403。更规范的做法是自定义RequireRole(1)注解再在拦截器里反射读取但小项目这样做容易过度设计。先按下面的角色边界收紧接口角色可访问区块接口示例学生举报、文章、公告/api/report/submit、/api/article/list管理员举报处理、文章管理、统计报表/api/admin/report/audit、/api/admin/stats/overview匿名登录、公开文章/公告/api/auth/login、/api/notice/list4.2 按学院和诈骗类型分组统计SQL 的 GROUP BY 比后端循环快得多很多同学做统计时先把全表查出来进 Java 循环数据量一上来就会卡。反诈报表的常见需求是按时间范围统计每个学院的举报量和处理量一条 SQL 就够了SELECT IFNULL(u.college_id, -1) AS college_id, r.type, COUNT(r.id) AS report_count, COUNT(DISTINCT r.user_id) AS reporter_count, SUM(CASE WHEN r.status IN (1, 2) THEN 1 ELSE 0 END) AS handled_count FROM tb_report r LEFT JOIN tb_user u ON r.user_id u.id WHERE r.create_time #{beginTime} AND r.create_time #{endTime} GROUP BY u.college_id, r.type ORDER BY report_count DESC这个 SQL 的IFNULL(u.college_id, -1)用来接收未填写学院的老用户COUNT(DISTINCT r.user_id)表示举报人数避免一个人提交多条时影响整体判断。主表数据变大时要给 create_time 建普通索引组合索引(create_time, type)对范围查询收益更明显。如果管理端要做雷达图可以把 type 固定成几个枚举值统计维度少、命中高前端不用做复杂动态配置。这里不建议在 SQL 里用DATE_FORMAT做小时级分组格式化函数会让索引失效日维度统计可以接受。4.3 PageHelper 分页和两个常踩的坑后台管理列表不能全量返回。SSM 项目用 PageHelper 比手写 LIMIT 省事但有两个坑。第一个是startPage后必须紧跟 Mapper 方法调用中间不能有任何其他查询第二个是 PageHelper 分页只对第一条 SQL 生效如果 Mapper 里有多条 SQL要拆开Service public class ReportAdminService { Autowired private ReportMapper reportMapper; public PageInfoReportVO pageReport(ReportQuery query, int pageNum, int pageSize) { PageHelper.startPage(pageNum, pageSize); ListReportVO list reportMapper.selectReportPage(query); return new PageInfo(list); } }上线后如果发现 count 查询特别慢可以在 mybatis-config.xml 里给 PageHelper 设置reasonabletrue和supportMethodsArgumentstrue。reasonable让页码越界时自动修正supportMethodsArguments让分页参数可以直接传给 Mapper 方法参数对象两者作用不同别混着改。5. 联调验证与源码改造让反诈小程序先跑通再交付5.1 本地联调地址、开发者工具和真机连不上时的排查本地联调最常遇到的是路径和 IP 问题。后端 war 包部署在 Tomcat启动后先打开/campus-antifraud/api/notice/list看到 JSON 再动小程序端。微信开发者工具里本地开发阶段勾选“不校验合法域名”请求地址写 localhost 或局域网 IP。真机预览时不能使用 localhost要把 BASE_URL 改成电脑的局域网 IP同时保证手机和电脑在同一个网段如果连不上先关掉电脑防火墙或查一下 Tomcat 端口有没有被放行。前后端分离项目实战里最容易出问题的不是业务逻辑而是跨域和本地 IP 配置。5.2 用 curl 验证登录与举报闭环验证接口不要每次用小程序点后台联调更快。先用测试 code 登录curl -X POST http://localhost:8080/campus-antifraud/api/auth/login \ -H Content-Type: application/json \ -d {code:test_code}如果返回 token说明微信接口配置正确。再带上 token 提交举报curl -X POST http://localhost:8080/campus-antifraud/api/report/upload \ -H Authorization: 上一步返回值里的token \ -F filescreenshot.jpg最后请求管理端统计接口检查 status 变化确认整条链路没有断。小程序端还要做三类异常验证token 过期后会不会跳登录、上传非图片文件时有没有被拦截、文章搜索关键字为空时会不会返回全量数据。5.3 拿到源码案例后先改的三个文件拿到现成源码案例先不要急着跑全部功能改三个地方就够了。第一改db.properties里的数据库链接把 localhost 和密码换成自己的第二改wx.properties里的 appid 和 secret否则登录会拿到 40029 错误第三改上传目录指向本机绝对路径Windows 下比如D:/uploadLinux 下比如/data/upload。这三个配置对应数据库、微信登录、文件存储三条线全部改完后基本就能把整个校园反诈小程序跑起来。本文还有配套的精品资源点击获取