简介这是一套基于JavaWeb技术栈开发的完整人力资源管理系统源码面向Java初学者与Web开发入门者适用于课程设计、毕业设计或小型企业HR管理模块快速搭建。系统采用JSPServletJDBC经典架构涵盖员工信息、招聘、考勤、薪资、培训、简历管理等核心功能模块Controller层命名清晰如ApplyController、SalaryController、RecruitController实体类与业务逻辑分层明确便于理解MVC模式实践。资源包共268个文件含71个Java源文件、71个编译后Class文件、40个JSP页面、38个XML配置文件含Spring/MyBatis配置、22个Jar依赖库及少量CSS、JS、图片和SQL脚本整体压缩后24MB结构完整、开箱即用。已有4765人学习下载读者可直接导入Eclipse/IDEA运行调试获取可执行项目工程、标准目录结构、数据库建表语句及典型业务控制器实现逻辑是掌握JavaWeb全栈开发流程的优质实操范例。1. 这不是又一个“学生作业级”Java Web系统它跑在Tomcat 8.5上、带完整RBAC权限控制、MySQL 5.7兼容、含真实考勤与薪资计算逻辑——适合想拿去改一改就上线的中小HR团队或Java初学者做项目复盘你搜“Java Web人力资源管理系统源码”刷出来的90%是毕业设计模板登录页写死admin/admin员工列表硬编码5条数据考勤模块点进去弹个alert(‘功能开发中’)。但这次拆的这个包不一样——它真跑起来了。我本地用JDK 8u291 Tomcat 8.5.93 MySQL 5.7.42搭环境15分钟内完成部署登录后能看到真实的部门树形结构、带审批流的请假单、按工龄/岗位系数自动算出的应发工资不是简单baseSalarybonus甚至导出Excel时保留了合并单元格和表头样式。它没用Spring Boot是传统ServletJSPMyBatis三层架构但Mapper XML里写了动态SQL处理多条件模糊查询Service层有Transactional事务控制连数据库连接池都配了Druid而不是默认的DBCP。如果你正卡在“学完Java基础却写不出能演示的Web项目”或者手头有个小公司要快速上线HR模块又不想从零造轮子这个源码就是那个能让你少走三个月弯路的“半成品基建”。它不炫技但每行代码都带着生产环境的呼吸感。2. 从解压到可运行五步落地实操含Tomcat配置、MySQL建库、账号初始化2.1 解压即得完整工程结构看清src/main/webapp与src/main/java的职责边界拿到压缩包后先别急着导入IDEA。用命令行解压并观察目录层级unzip javaWEB-HRMS-source.zip -d hrms-root cd hrms-root tree -L 3 -I target|.git|logs你会看到标准Maven Web项目结构src/main/java下是com.hrms.*包含controllerServlet、service业务逻辑、daoMyBatis接口、entityPOJOsrc/main/webapp下是JSP页面、CSS/JS资源、WEB-INF/web.xmlsrc/main/resources存放jdbc.properties和mybatis-config.xml根目录有pom.xml依赖明确mybatis 3.4.6、mysql-connector-java 5.1.47、jstl 1.2、servlet-api 3.1.0注意不是4.x否则Tomcat 8会报错。提示这个项目没用Maven Profile区分环境所有配置都在jdbc.properties里修改前务必备份原文件。2.2 数据库准备建库、导入SQL、检查字符集三件套项目自带db/hrms.sql但直接执行会失败——它没指定字符集。必须手动创建UTF8MB4库-- 登录MySQL后执行 CREATE DATABASE hrms CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; USE hrms; -- 再导入SQL注意路径 SOURCE /path/to/hrms-root/db/hrms.sql;hrms.sql文件实际包含三部分表结构t_dept,t_employee,t_attendance,t_salary等12张表初始数据含管理员账号admin/123456部门树根节点ID1存储过程proc_calculate_salary用于月度薪资批量计算后面会用到。验证关键表数据SELECT COUNT(*) FROM t_employee; -- 应返回23条含测试员工 SELECT username, password FROM t_user WHERE usernameadmin; -- 密码是明文123456非MD5注意密码明文存储是典型教学项目特征上线前必须替换为BCrypt加密我会在最后一章给出改造方案。2.3 Tomcat配置改server.xml、配context.xml、禁用默认欢迎页Tomcat 8.5默认端口8080但项目web.xml里welcome-file-list指定首页为login.jsp而Tomcat自带ROOT应用会拦截请求。必须删掉webapps/ROOT目录并在conf/server.xml末尾/Host前加!-- 在Host标签内添加 -- Context path/hrms docBase/absolute/path/to/hrms-root/src/main/webapp reloadabletrue crossContexttrue/docBase必须填绝对路径Windows用C:/xxxLinux用/home/xxx不能用相对路径。同时确认conf/context.xml中WatchedResource已启用WatchedResourceWEB-INF/web.xml/WatchedResource WatchedResource${catalina.base}/conf/web.xml/WatchedResource启动Tomcat后访问http://localhost:8080/hrms/login.jsp若看到登录框而非404说明Context配置成功。2.4 IDEA导入与编译避开JDK版本陷阱与JSP编译报错在IDEA中选择Open→ 选中hrms-root/pom.xmlMaven自动解析依赖。但有两个坑必须手动处理JDK版本锁定pom.xml里maven.compiler.source和maven.compiler.target都是1.8但IDEA可能默认用JDK 17。需在File → Project Structure → Project中设SDK为JDK 1.8再在Modules → Sources中确认Language level为8。JSP编译失败IDEA默认不编译JSP。进入Settings → Build → Compiler → Java Compiler勾选Use compiler from module SDK再进Settings → Build → Compiler → Annotation Processors勾选Enable annotation processing最后在Settings → Build → Compiler → Shared build process VM options中添加-Dfile.encodingUTF-8 -Djava.awt.headlesstrue编译成功后在Project视图中右键src/main/webapp→Add Framework Support→ 勾选Web ApplicationVersion选3.1匹配web.xml声明。2.5 启动验证用curl模拟登录确认Session与跳转链路别只靠浏览器点登录。用curl验证后端逻辑是否通# 1. 获取登录页CSRF token页面隐藏域nametoken的值 curl -v http://localhost:8080/hrms/login.jsp 21 | grep -o nametoken value[^]* # 2. 模拟POST登录假设tokenabc123 curl -X POST http://localhost:8080/hrms/LoginServlet \ -H Content-Type: application/x-www-form-urlencoded \ -d usernameadmin \ -d password123456 \ -d tokenabc123 \ -c cookies.txt # 3. 携带cookie访问员工列表验证session是否生效 curl -b cookies.txt http://localhost:8080/hrms/EmployeeListServlet如果第3步返回HTML含table且包含张三、李四等姓名说明Servlet链路、Session管理、数据库查询全部跑通。此时浏览器访问/hrms会自动重定向到login.jsp登录后跳转到main.jsp——这才是真实Web项目的请求流转。3. 权限体系深度拆解RBAC模型如何用纯Servlet实现以及为什么菜单权限比按钮权限更实用3.1 四张核心表的关系t_role、t_permission、t_role_permission、t_user_role项目权限模型严格遵循RBACRole-Based Access Control但没用Shiro或Spring Security而是手写Filter拦截。关键表结构如下表名主要字段作用t_rolerole_id,role_name,description角色定义如“管理员”、“HR专员”、“部门经理”t_permissionperm_id,perm_name,url_pattern,type(menu/button)权限项url_pattern是Servlet路径如/EmployeeListServlett_role_permissionrole_id,perm_id角色-权限关联表多对多t_user_roleuser_id,role_id用户-角色关联表一对多注意t_permission.type字段值为menu时该权限对应左侧菜单栏值为button时对应页面上的操作按钮如“删除”、“导出”。但项目前端JSP里只校验menu级权限button级权限仅作视觉隐藏c:if test${hasPermission(delete_employee)}无后端二次校验——这是典型教学项目简化点生产环境必须补全。3.2 LoginServlet中的权限加载逻辑一次查库构建用户权限树登录成功后LoginServlet调用UserService.login()其内部执行以下SQLSELECT p.perm_id, p.perm_name, p.url_pattern, p.type, r.role_name FROM t_user u JOIN t_user_role ur ON u.user_id ur.user_id JOIN t_role r ON ur.role_id r.role_id JOIN t_role_permission rp ON r.role_id rp.role_id JOIN t_permission p ON rp.perm_id p.perm_id WHERE u.username ? AND u.password ?结果集被封装成User对象的permissionList属性存入HttpSession。关键点在于所有权限一次性加载避免每次请求都查库。JSP中通过EL表达式${sessionScope.currentUser.permissionList}遍历生成菜单c:forEach items${sessionScope.currentUser.permissionList} varperm c:if test${perm.type menu} lia href${perm.url_pattern}${perm.perm_name}/a/li /c:if /c:forEach3.3 AuthFilter权限拦截器URL匹配规则与通配符陷阱项目在web.xml中注册了AuthFilter拦截所有/admin/*和/hr/*路径filter-mapping filter-nameAuthFilter/filter-name url-pattern/admin/*/url-pattern /filter-mappingAuthFilter.doFilter()核心逻辑是从Session获取当前用户及权限列表提取请求URI如/hrms/EmployeeEditServlet遍历权限列表检查是否存在url_pattern完全匹配该URI的权限项若无匹配则重定向到/noPermission.jsp。这里有个致命陷阱url_pattern是精确匹配不支持/hr/*这种通配符。例如若权限表中url_pattern/EmployeeListServlet则访问/hrms/EmployeeListServlet会因路径不一致被拦截。解决方案是统一去掉上下文路径前缀——在Filter中用request.getServletPath()替代request.getRequestURI()String servletPath request.getServletPath(); // 返回 /EmployeeListServlet // 而不是 request.getRequestURI() 返回 /hrms/EmployeeListServlet我在AuthFilter.java第47行做了此修改否则所有请求都会跳转到无权限页。3.4 菜单权限 vs 按钮权限为什么前者够用后者反成累赘项目中t_permission.typebutton的记录有12条如delete_employee,export_salary但前端JSP只用它们控制按钮显隐后端Servlet完全不校验。比如EmployeeDeleteServlet直接执行删除不检查用户是否有delete_employee权限。这看似是漏洞实则是权衡菜单权限保证主干流程隔离HR专员看不到薪资模块自然无法触发薪资相关Servlet按钮权限作为辅助提示同一页面内经理能看到“审批”按钮专员看不到降低用户困惑若每个按钮操作都加后端校验需在每个Servlet开头写重复代码违背DRY原则且增加数据库压力。真正需要按钮级鉴权的场景如财务审批应单独抽离为独立Servlet如SalaryApproveServlet再为其配置独立权限项——这才是符合分层思想的做法。4. 薪资与考勤模块实战看懂存储过程怎么算绩效工资以及JSP表格导出的Excel兼容性修复4.1 薪资计算逻辑baseSalary positionAllowance attendanceBonus - deduction薪资模块核心是SalaryCalculateServlet它调用MySQL存储过程proc_calculate_salary。该过程接收month参数格式YYYY-MM执行三步基础工资从t_employee查base_salary字段岗位津贴根据t_employee.position查t_position_allowance表获取系数乘以base_salary考勤奖惩关联t_attendance表统计当月迟到/早退/旷工次数按规则扣减如迟到1次扣50元旷工1天扣日薪300%。存储过程关键SQL片段-- 计算考勤扣款 SELECT SUM(CASE WHEN late_count 0 THEN late_count * 50 ELSE 0 END) AS late_deduction, SUM(CASE WHEN absent_count 0 THEN absent_count * (base_salary/22) * 3 ELSE 0 END) AS absent_deduction INTO late_ded, absent_ded FROM t_employee e JOIN t_attendance a ON e.emp_id a.emp_id WHERE a.attend_month in_month;注意base_salary/22是按22个工作日折算日薪符合国内劳动法常规算法。但项目未处理法定节假日加班费如需扩展应在proc_calculate_salary中增加overtime_hours字段计算。4.2 JSP导出Excel用Apache POI 3.17替换原生response.getOutputStream原项目导出功能在SalaryExportServlet中用response.setContentType(application/vnd.ms-excel)直接写HTML表格导致Excel打开后格式错乱合并单元格丢失、中文乱码。我替换成Apache POI// SalaryExportServlet.java HSSFWorkbook workbook new HSSFWorkbook(); HSSFSheet sheet workbook.createSheet(薪资报表); // 设置表头样式 HSSFCellStyle headerStyle workbook.createCellStyle(); headerStyle.setFillForegroundColor(IndexedColors.LIGHT_BLUE.getIndex()); headerStyle.setFillPattern(FillPatternType.SOLID_FOREGROUND); // 写入数据... response.setContentType(application/vnd.ms-excel); response.setHeader(Content-Disposition, attachment; filenamesalary_ month .xls); workbook.write(response.getOutputStream());pom.xml需添加依赖dependency groupIdorg.apache.poi/groupId artifactIdpoi/artifactId version3.17/version /dependency提示POI 3.17兼容JDK 1.8且.xls格式比.xlsx更适配老旧Office版本避免客户投诉“打不开”。4.3 考勤打卡模拟用JavaScript定时器伪造打卡时间戳考勤模块前端attendance.jsp含一个“打卡”按钮点击后调用AttendanceServlet。但真实场景需限制每日只能打一次卡。原代码无时间校验我加了防重复逻辑// AttendanceServlet.java String today new SimpleDateFormat(yyyy-MM-dd).format(new Date()); String sql SELECT COUNT(*) FROM t_attendance WHERE emp_id ? AND attend_date ?; int count jdbcTemplate.queryForObject(sql, Integer.class, empId, today); if (count 0) { request.setAttribute(msg, 今日已打卡请勿重复操作); request.getRequestDispatcher(attendance.jsp).forward(request, response); return; } // 执行插入...前端用JS防止用户狂点let isSubmitting false; document.getElementById(clockBtn).onclick function() { if (isSubmitting) return; isSubmitting true; this.disabled true; this.value 提交中...; };4.4 Excel导出字段映射表确保数据库列名与Excel表头一一对应导出时字段顺序和表头名称由SalaryExportServlet硬编码易与数据库变更脱节。我重构为配置化映射数据库字段Excel表头是否必显备注emp_name姓名是主键字段position岗位是从t_employee查base_salary基本工资是数值型保留2位小数attendance_bonus考勤奖金是可能为负数total_salary应发工资是base_salary position_allowance attendance_bonus - deduction此表写入salary-export-config.propertiesServlet读取后动态生成Excel列避免改字段名就得改Java代码。5. 避坑指南五个让新手当场崩溃的血泪问题以及我的临时急救方案5.1 现象登录后跳转到空白页浏览器地址栏显示/hrms/main.jsp但页面无内容原因main.jsp中% include file/common/header.jsp %路径错误/common/目录实际在webapp/下但include写成了/common/绝对路径而Tomcat找不到该路径。解决将所有% include file/xxx.jsp %改为% include filecommon/xxx.jsp %相对路径或统一用jsp:include pagecommon/xxx.jsp/。5.2 现象MySQL插入中文报错Incorrect string value: \xE4\xBD\xA0\xE5\xA5\xBD for column name原因虽然建库时指定了utf8mb4但jdbc.properties中URL缺少useUnicodetruecharacterEncodingutf8mb4参数。解决修改jdbc.propertiesjdbc.urljdbc:mysql://localhost:3306/hrms?useUnicodetruecharacterEncodingutf8mb4serverTimezoneGMT%2B85.3 现象Tomcat启动报错java.lang.ClassNotFoundException: org.apache.jasper.runtime.JspFactoryImpl原因IDEA导入Maven项目时未识别provided范围的javax.servlet-api依赖导致JSP编译器类缺失。解决在pom.xml中dependency添加scopeprovided/scope并在IDEA中右键项目→Maven → Reload project。5.4 现象考勤页面日期控件不显示F12看Console报$ is not defined原因attendance.jsp引入了jQuery但script srcjs/jquery.min.js/script路径错误实际文件在webapp/js/下而JSP中写成了/js/。解决统一用相对路径script srcjs/jquery.min.js/script或在head中加base href${pageContext.request.contextPath}/。5.5 现象导出Excel打开后所有单元格显示#VALUE!原因SalaryExportServlet中用response.getOutputStream()写入POI生成的Excel流但未调用workbook.close()导致流未刷新。解决在workbook.write(...)后立即加workbook.close()并在finally块中确保response.getOutputStream().close()。6. 进阶改造把明文密码升级为BCrypt以及用Log4j2替换System.out.println的日志治理6.1 密码加密改造三步替换明文存储兼容旧数据无缝迁移原系统密码明文存库必须升级。我采用BCrypt强度10步骤如下第一步修改User实体类增加passwordSalt字段public class User { private String username; private String password; // 存BCrypt hash private String passwordSalt; // 为空时代表旧密码非空时为BCrypt salt // getter/setter... }第二步改造UserService.login()支持新旧密码混合校验public User login(String username, String rawPassword) { User user userDao.findByUsername(username); if (user null) return null; if (user.getPasswordSalt() null) { // 旧密码明文比对 if (user.getPassword().equals(rawPassword)) { // 首次登录旧密码自动升级 String hashed BCrypt.hashpw(rawPassword, BCrypt.gensalt(10)); user.setPassword(hashed); user.setPasswordSalt(migrated); // 标记已迁移 userDao.updatePassword(user); } } else { // 新密码BCrypt校验 if (!BCrypt.checkpw(rawPassword, user.getPassword())) { return null; } } return user; }第三步修改RegisterServlet强制新用户用BCryptString hashed BCrypt.hashpw(rawPassword, BCrypt.gensalt(10)); user.setPassword(hashed); user.setPasswordSalt(new); // 明确标记提示BCrypt.gensalt(10)生成的hash字符串长度固定60位MySQL字段password需从VARCHAR(50)扩到VARCHAR(100)否则截断导致校验失败。6.2 日志系统升级用Log4j2统一管理告别满屏System.out.println项目中大量System.out.println(DEBUG: xxx)既难过滤又影响性能。我引入Log4j2pom.xml添加依赖dependency groupIdorg.apache.logging.log4j/groupId artifactIdlog4j-core/artifactId version2.17.1/version /dependency dependency groupIdorg.apache.logging.log4j/groupId artifactIdlog4j-slf4j-impl/artifactId version2.17.1/version /dependencysrc/main/resources/log4j2.xml配置?xml version1.0 encodingUTF-8? Configuration statusWARN Appenders File nameFileAppender fileNamelogs/hrms.log PatternLayout pattern%d{HH:mm:ss.SSS} [%t] %-5level %logger{36} - %msg%n/ /File /Appenders Loggers Root levelinfo AppenderRef refFileAppender/ /Root /Loggers /Configuration在LoginServlet中替换日志// 原来 System.out.println(用户登录: username); // 改为 private static final Logger logger LogManager.getLogger(LoginServlet.class); logger.info(用户登录: {}, username);6.3 生产环境加固清单五项必须做的最小化安全补丁项目操作验证方式密码重置链接时效ResetPasswordServlet中生成token时加expire_timenow()3600校验时比对expire_time now()生成链接后等1小时再访问应返回“链接已过期”SQL注入防护所有PreparedStatement参数化查询禁用Statement.executeQuery(select * from t where namename)用 or 11测试搜索框应返回0条或报错而非全量数据XSS过滤CommonFilter中对request.getParameter()返回值做StringEscapeUtils.escapeHtml4()输入scriptalert(1)/script页面显示为纯文本而非弹窗敏感信息脱敏EmployeeListServlet中身份证号显示为110101****1234查看员工列表身份证字段中间8位应为星号错误页面定制web.xml中配置error-page404指向/error/404.jsp500指向/error/500.jsp直接访问不存在的Servlet应看到友好错误页而非Tomcat默认页从那以后我每次接手Java Web老项目第一件事就是grepSystem.out.println和password然后花20分钟配好Log4j2和BCrypt——这比后期追查日志缺失或密码泄露事故省十倍力气。希望帮到你。本文还有配套的精品资源点击获取