云R记（lezijie-note0707）全面代码审查报告

云R记（lezijie-note0707）全面代码审查报告

审查日期：2026-04-24
项目路径：D:\乐字节\01_乐字节Java入门级项目云日记\lezijie-note0707\lezijie-note
技术栈：Java 8 + Servlet 4 + JSP + JSTL + MySQL + JDBC + UEditor + ECharts + 百度地图API + Bootstrap + jQuery + SweetAlert2 + Hutool + FastJSON + Lombok
服务器：Apache Tomcat 7.0.67 + JDK 1.8.0_45

审查统计

一、🔴 致命问题（3个）

1.1 修改密码功能完全失效

位置：[UserService.java:244](file:///D:/乐字节/01_乐字节Java入门级项目云日记/lezijie-note0707/lezijie-note/src/main/java/com/lezijie/note/service/UserService.java#L244)

现象：用户修改密码时，无论输入什么旧密码都能修改成功，原密码验证逻辑完全缺失。

根因：updatePwd方法中调用userDao.queryUserByName(null)传入null作为用户名，永远查不到用户对象，导致旧密码校验被跳过。

修复方案：

// 错误代码Useruser=userDao.queryUserByName(null);// 正确代码 - 从session获取当前登录用户名StringuserName=((User)request.getSession().getAttribute("user")).getUname();Useruser=userDao.queryUserByName(userName);if(user==null){resultInfo.setCode(0);resultInfo.setMsg("用户不存在！");returnresultInfo;}

1.2 Cookie 明文存储密码

位置：[UserServlet.java:216](file:///D:/乐字节/01_乐字节Java入门级项目云日记/lezijie-note0707/lezijie-note/src/main/java/com/lezijie/note/web/UserServlet.java#L216)

现象：用户登录时将明文密码存入 Cookie，浏览器开发者工具可直接查看。

根因：Cookie 值使用URLEncoder.encode(userName, "UTF-8") + "|" + URLEncoder.encode(userPwd, "UTF-8")格式，密码未加密。

修复方案：Cookie 中不存储密码，改为存储随机 Token，服务端维护 Token 与用户的映射关系。

1.3 生产数据库密码泄露

位置：[product/db.properties:5-9](file:///D:/乐字节/01_乐字节Java入门级项目云日记/lezijie-note0707/lezijie-note/src/main/resources/product/db.properties#L5)

现象：远程服务器 IP119.27.191.180和密码123456明文写在配置文件中，且该文件在版本控制中。

修复方案：将敏感信息移到环境变量或外部配置中心，不提交到版本库。

二、🟠 严重问题（8个）

2.1 XSS 漏洞 — 多处未转义输出

位置：

修复方案：使用<c:out value="${xxx}"/>或${fn:escapeXml(xxx)}进行 HTML 转义。

2.2 文件路径遍历风险

位置：[UserServlet.java:125-129](file:///D:/乐字节/01_乐字节Java入门级项目云日记/lezijie-note0707/lezijie-note/src/main/java/com/lezijie/note/web/UserServlet.java#L125)

现象：userHead方法直接从参数imageName拼接文件路径，未校验路径遍历（如../）。

修复方案：对imageName做白名单校验，只允许字母数字和文件扩展名。

2.3 view.jsp JavaScript 拼写错误

位置：[view.jsp:168](file:///D:/乐字节/01_乐字节Java入门级项目云日记/lezijie-note0707/lezijie-note/src/main/webapp/note/view.jsp#L168)

现象：thi.getStatus()拼写错误，应为this.getStatus()，导致 JS 运行时错误。

修复方案：

// 错误thi.getStatus()// 正确this.getStatus()

2.4 detail.jsp 非法字符

位置：[detail.jsp:2](file:///D:/乐字节/01_乐字节Java入门级项目云日记/lezijie-note0707/lezijie-note/src/main/webapp/note/detail.jsp#L2)

现象：第2行存在 Windows 换行符被错误插入到 JSP 标签声明中，可能导致 JSP 编译错误。

修复方案：删除非法字符，确保 taglib 声明在同一行。

2.5 条件查询互斥

位置：[NoteDao.java:58-75](file:///D:/乐字节/01_乐字节Java入门级项目云日记/lezijie-note0707/lezijie-note/src/main/java/com/lezijie/note/dao/NoteDao.java#L58) 和 [NoteDao.java:101-116](file:///D:/乐字节/01_乐字节Java入门级项目云日记/lezijie-note0707/lezijie-note/src/main/java/com/lezijie/note/dao/NoteDao.java#L101)

现象：标题、日期、类型三个搜索条件使用else if，导致互斥。如果同时传了 title 和 date，只会按 title 查询，date 条件被忽略。

修复方案：改为独立的if判断，支持多条件组合查询。

2.6 导航链接 404

位置：[index.jsp:42](file:///D:/乐字节/01_乐字节Java入门级项目云日记/lezijie-note0707/lezijie-note/src/main/webapp/index.jsp#L42)

现象：Logo 的href="main"指向不存在的 Servlet 路径，点击后 404。

修复方案：改为href="index"。

2.7 百度地图 API 密钥硬编码

位置：view.jsp:156, report/info.jsp:33

现象：百度地图 AK 密钥yrxymYTyuefnxNtXbZcMU8phABXtu6TG硬编码在前端页面中。

修复方案：将密钥移到配置文件中，通过后端接口获取。

2.8 UEditor config.js BOM 字符

位置：statics/ueditor/dialogs/template/config.js

现象：文件包含非法 BOM 字符\ufeff，可能导致 JS 解析异常。

修复方案：用无 BOM 的 UTF-8 编码重新保存文件。

三、🟡 中等问题（12个）

四、🔵 低级问题（14个）

五、⚪ 冗余文件（10个）

六、修复优先级建议

第一优先级 — 立即修复（影响核心功能）

1. ✅ 修改密码功能失效（#1.1）
2. ✅ view.jsp 拼写错误thi.getStatus()（#2.3）
3. ✅ detail.jsp 非法字符（#2.4）
4. ✅ 导航链接 404（#2.6）
5. ✅ db.properties 密码被注释掉（#3.4）

第二优先级 — 尽快修复（安全风险）

6. Cookie 明文密码（#1.2）
7. XSS 漏洞（#2.1）
8. 文件路径遍历（#2.2）
9. 生产数据库密码泄露（#1.3）

第三优先级 — 计划修复（代码质量）

10. 条件查询互斥（#2.5）
11. noteId 空指针（#3.1）
12. Session 数据不更新（#3.3）
13. 删除冗余文件（#5）

第四优先级 — 可选优化

14. BaseDao 泛型化
15. 引入数据库连接池
16. 添加日志记录
17. 升级依赖版本

七、已修复问题清单

报告生成时间：2026-04-24