Spring Boot高校创新创业项目管理系统：从状态机到权限设计全解析

简介：面向高校创新创业项目管理场景，提供一套前后端分离的项目管理系统源码及配套视频录制与截图。系统基于Spring Boot + MyBatis-Plus + MySQL构建后端，前端采用Vue + ElementUI，覆盖学生、教师、管理员三类角色：学生可注册登录、维护个人信息、选择指导教师、申报项目及下载文件；教师可审阅项目、管理个人资料与查看公告；管理员负责用户信息管理、项目信息审核、文件上传及系统公告维护，流程清晰完整。资源包共2000个文件，主要包括925个Markdown文档、856个JavaScript脚本、187个JSON配置、17个DOCX模板及少量HTML/PDF/PPT等，压缩包约54.94MB。其中DOCX文档提供了项目申报书、开题报告、中期检查、结题报告等全套模板，便于直接套用；源码与前端脚本可支撑二次开发。目前已有143人学习下载，适合用于课程设计、毕业设计或企业级项目快速起步参考。

1. 高校创新创业项目管理系统到底在管什么：一条申报到结题的状态链

这类系统在高校里几乎是标配，学生在线申报大创项目、导师审核、学院组织评审、立项后做中期检查，最后结题验收并导出成绩归档。表面看是一套 Spring Boot 的 CRUD 脚手架，真正花时间的地方却在三处：状态怎么流转、角色权限怎么隔离、汇总数据怎么导出。标题里的 .7z 说明交付物是一个压缩包，里面通常同时包含源码、演示视频和数据库截图。视频录制能帮你确认功能边界，截图则直接暴露了真实表结构和页面字段，这两样东西比读代码更快。下面按我接手这类 springboot 项目时的习惯，把表设计、权限控制、评分导出、本地启动和上线前检查一次讲透，适合刚拿到源码想尽快跑起来、以及准备基于它做二次开发的读者。

2. Spring Boot 申报模块：建表、状态机与提交接口一次对齐

拿到源码后我一般先不急着启动，而是打开 SQL 脚本看表。高校创新创业项目管理系统的第一道坎就是表结构不合理：很多老版本把审批意见做成项目表里的冗余字段，每次导出统计都要写一堆活动 SQL。规范做法是拆成一张业务主表加一张审批流水表，主表只回答“项目现在是什么”，流水表回答“项目是怎么走到现在的”。

2.1 主表只放业务字段，审批意见进流水表

项目主表的核心字段如下，建表时字符集统一用 utf8mb4，避免学生填的特殊符号和 emoji 写入失败。

CREATE TABLE project ( id BIGINT PRIMARY KEY AUTO_INCREMENT, project_code VARCHAR(32) NOT NULL COMMENT '项目编号，如 2025-01-001', project_name VARCHAR(200) NOT NULL, leader_id BIGINT NOT NULL COMMENT '负责人用户ID', advisor_id BIGINT NOT NULL COMMENT '指导教师ID', college_id BIGINT NOT NULL COMMENT '所属学院ID', project_type TINYINT NOT NULL COMMENT '1创新 2创业 3训练', budget DECIMAL(10,2) DEFAULT 0 COMMENT '申请经费', status TINYINT NOT NULL DEFAULT 0 COMMENT '状态，见枚举', version INT NOT NULL DEFAULT 0 COMMENT '乐观锁版本号', apply_time DATETIME DEFAULT CURRENT_TIMESTAMP, update_time DATETIME DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP, KEY idx_advisor (advisor_id), KEY idx_status (status) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

审批流水表单独存每一次流转，不要每次更新都在主表上加一列“审核人”、“审核意见”、“审核时间”。

CREATE TABLE project_audit ( id BIGINT PRIMARY KEY AUTO_INCREMENT, project_id BIGINT NOT NULL, auditor_id BIGINT NOT NULL COMMENT '操作人ID', audit_role VARCHAR(20) NOT NULL COMMENT 'ADVISOR/COLLEGE/ADMIN', from_status TINYINT NOT NULL, to_status TINYINT NOT NULL, comment VARCHAR(500) DEFAULT '', create_time DATETIME DEFAULT CURRENT_TIMESTAMP, KEY idx_project (project_id) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

这样分的原因很直接：一张流水表同时服务申报、导师审核、学院评审、中期检查、结题验收五个环节，后面做“某个项目的历史轨迹”页面时，一条 SQL 就能查完。主表只保留当前 status，配合索引查询列表页会非常快。

2.2 状态流转别用 if-else 堆，用枚举加一张转移表

常见的错误写法是在 Service 里写if (status == 1 && target == 2)这种嵌套判断，状态一多就失控。我一般用一个枚举把合法流转集中管理，这也是 springboot 面试题里“你怎么设计审批流程”的标准答法之一。

public enum ProjectStatus { DRAFT(0, "草稿"), SUBMITTED(1, "待导师审核"), ADVISOR_PASS(2, "导师已通过"), COLLEGE_PASS(3, "学院已通过"), APPROVED(4, "已立项"), MIDTERM(5, "中期检查中"), REJECTED(6, "已驳回"), FINISHED(7, "已结题"); private final int code; private final String desc; private static final Map<Integer, Set<Integer>> TRANSITIONS = new HashMap<>(); static { TRANSITIONS.put(SUBMITTED.code, Set.of(ADVISOR_PASS.code, REJECTED.code)); TRANSITIONS.put(ADVISOR_PASS.code, Set.of(COLLEGE_PASS.code, REJECTED.code)); TRANSITIONS.put(COLLEGE_PASS.code, Set.of(APPROVED.code, REJECTED.code)); TRANSITIONS.put(APPROVED.code, Set.of(MIDTERM.code, FINISHED.code)); TRANSITIONS.put(MIDTERM.code, Set.of(FINISHED.code, APPROVED.code)); } public static boolean canTransfer(int from, int to) { return TRANSITIONS.getOrDefault(from, Collections.emptySet()).contains(to); } }

转移表把“允许谁到谁”收敛到一处，新增状态只改枚举和这张 Map，不碰业务代码。配合@Transactional，状态校验放进 Service 而不是前端，就能保证并发下不会出现“同一项目被两个角色同时推进”的脏数据。

2.3 提交申报的最小接口：校验、防重复、改状态

提交接口的代码不长，但必须有三个动作：字段校验、在途项目防重复、状态更新加乐观锁。

@PostMapping("/project/submit") public Result<Void> submit(@RequestBody @Valid ProjectSubmitVO vo, @RequestParam Long userId) { // 1. 校验该项目属于当前用户，防止越权提交 Project project = projectMapper.selectById(vo.getProjectId()); if (project == null || !project.getLeaderId().equals(userId)) { throw new BusinessException("项目不存在或无权操作"); } // 2. 防重复：同一个人在途项目只能有一个 Long count = projectMapper.countOngoing(userId); if (count != null && count > 0) { throw new BusinessException("已有在途项目，请先完成或撤销"); } // 3. 状态机校验 + 乐观锁更新 if (!ProjectStatus.canTransfer(project.getStatus(), ProjectStatus.SUBMITTED.getCode())) { throw new BusinessException("当前状态不允许提交"); } int rows = projectMapper.compareAndSetStatus(project.getId(), project.getStatus(), ProjectStatus.SUBMITTED.getCode()); if (rows == 0) { throw new BusinessException("数据已被修改，请刷新后重试"); } return Result.ok(); }

这里的compareAndSetStatus对应一条UPDATE project SET status=#{to}, version=version+1 WHERE id=#{id} AND status=#{from} AND version=#{version}，返回影响行数为 0 说明状态已被别人改过。参数说明上，@Valid触发 VO 里的 JSR 303 注解，比如@NotBlank管标题、@NotNull管经费；userId从 JWT 解析后传入，不要相信前端传来的用户 ID。

3. 评审打分与立项导出：角色权限、平均分和 Excel 一次到位

申报通过后进入评审环节。评审阶段最容易翻车的两个点：权限控制只在前端写死按钮、平均分用 Java 在内存里算。前者绕过接口就能越权，后者数据一多就慢，还会算错。

3.1 用 JWT 加注解把学生、导师、管理员分开

这类系统常见的 springboot 框架是 Spring Boot 加 JWT 做无状态认证。关键代码在过滤器里，每个请求先解析 Token，再把用户身份放进 SecurityContext。

@Component public class JwtAuthFilter extends OncePerRequestFilter { @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws IOException, ServletException { String token = request.getHeader("Authorization"); if (StringUtils.hasText(token) && token.startsWith("Bearer ")) { Claims claims = JwtUtil.parse(token.substring(7)); UsernamePasswordAuthenticationToken auth = new UsernamePasswordAuthenticationToken( claims.get("userId"), null, List.of(new SimpleGrantedAuthority("ROLE_" + claims.get("role")))); SecurityContextHolder.getContext().setAuthentication(auth); } chain.doFilter(request, response); } }

过滤器只负责认身份，接口上再用注解做细粒度控制。@PreAuthorize("hasRole('ADVISOR')")挂在导师审核接口上，hasRole('ADMIN')挂在立项公示接口上，这样即使前端隐藏了按钮，直接 POST 接口也会被拦截。参数说明：claims.get("role")存的是 ADVISOR、STUDENT、ADMIN 这类大写角色名，SimpleGrantedAuthority 会自动补上 ROLE_ 前缀，所以注解里写hasRole('ADVISOR')而不是hasAuthority('ADVISOR')。

3.2 打分表用联合唯一键，平均分交给 SQL

评委打分表的设计重点是约束重复打分，一张表同时存分数和评语。

CREATE TABLE project_score ( id BIGINT PRIMARY KEY AUTO_INCREMENT, project_id BIGINT NOT NULL, reviewer_id BIGINT NOT NULL, score DECIMAL(5,2) NOT NULL COMMENT '百分制分数', comment VARCHAR(500) DEFAULT '', create_time DATETIME DEFAULT CURRENT_TIMESTAMP, UNIQUE KEY uk_project_reviewer (project_id, reviewer_id), KEY idx_project (project_id) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

UNIQUE KEY uk_project_reviewer保证同一个评委对同一个项目只能打一次分，第二次插入直接抛 DuplicateKeyException，不用在代码里先查一遍。算平均分时直接用 SQL 聚合，而不是把列表拉到 Java 里算。

SELECT project_id, ROUND(AVG(score), 2) AS avg_score, COUNT(*) AS reviewer_cnt FROM project_score GROUP BY project_id ORDER BY avg_score DESC;

这段 SQL 的逻辑说明：AVG忽略 NULL 值，ROUND(..., 2)保留两位小数，COUNT(*)统计评委人数，用于判断是否达到三人评审的底线。排序前记得在 project_id 上有索引，否则数据量过万后 GROUP BY 会走全表扫描。

3.3 立项名单导出用 EasyExcel 流式写

导出是评审结束后的固定动作，我一般用 EasyExcel 而不是原生 POI，因为它底层是 SAX 流式解析，百万行内存占用也稳定。

@GetMapping("/project/export") public void export(HttpServletResponse response) throws IOException { List<ProjectVO> list = projectService.listApprovedForExport(); response.setContentType( "application/vnd.openxmlformats-officedocument.spreadsheetml.sheet"); String fileName = URLEncoder.encode("立项名单.xlsx", StandardCharsets.UTF_8); response.setHeader("Content-Disposition", "attachment;filename=" + fileName); EasyExcel.write(response.getOutputStream(), ProjectVO.class) .sheet("立项名单") .doWrite(list); }

参数说明：Content-Type 必须用 xlsx 的 MIME，否则浏览器可能提示文件损坏；文件名经过 URLEncoder 是为了兼容下载框里的中文。ProjectVO 字段上要加@ExcelProperty("项目编号")这类注解，如果导出后列名和系统截图里对不上，优先检查这个注解，而不是检查 SQL。

4. 从 7z 源码包到本地跑通：解压、导库、改配置三件事

交付物是 .7z 压缩包，意味着源码、视频录制、截图被打成一个归档。拿到手先别急着双击解压到桌面，而是把它当作一份交付清单来处理。视频录制通常演示主线流程，截图覆盖每个页面，这两样东西比注释更能帮你定位“哪个页面调哪个接口”。

4.1 先列目录再解压，确认包里的真实结构

在 Linux 或 macOS 下操作时，先列出归档内容，再决定解压到哪个目录。

# 查看压缩包内容，不实际解压 7z l springboot高校创新创业项目管理系统.7z # 解压到 ./cims 目录，保留内部目录结构 7z x springboot高校创新创业项目管理系统.7z -o./cims

参数说明：l是 list 模式，只显示文件清单，用来确认有没有 SQL 脚本、视频和截图目录；x是 extract，-o指定输出目录，注意-o和路径之间不能有空格，写成-o ./cims会报错。如果系统没有 7z 命令，Debian/Ubuntu 系执行apt install p7zip-full，CentOS/RHEL 系执行yum install p7zip。

解压后常见的目录结构是这样的：

cims/ ├── src/main/java/com/xxx/ │ ├── controller/ │ ├── service/ │ ├── mapper/ │ └── entity/ ├── src/main/resources/ │ ├── application.yml │ └── mapper/*.xml ├── sql/init.sql ├── 演示视频.mp4 └── 截图/

拿到这个结构后，先看 sql 目录里有没有建库脚本。没有 SQL 只有代码的包，十有八九需要靠视频和截图反推表结构，工作量会大很多。

4.2 导入 SQL 后，application.yml 只有四个 key 必须改

数据库初始化用命令行导入，比在客户端里点来点去更可控。

mysql -uroot -p -e "CREATE DATABASE cims DEFAULT CHARACTER SET utf8mb4;" mysql -uroot -p cims < sql/init.sql

导入完成后打开 application.yml，重点检查这四个配置项。

server: port: 8080 spring: datasource: url: jdbc:mysql://localhost:3306/cims?useUnicode=true&characterEncoding=utf8&serverTimezone=Asia/Shanghai username: root password: your_password driver-class-name: com.mysql.cj.jdbc.Driver mybatis-plus: mapper-locations: classpath:mapper/*.xml configuration: map-underscore-to-camel-case: true

参数说明：serverTimezone=Asia/Shanghai不加的话 MySQL 8 的驱动会报时区错误；driver-class-name如果是 MySQL 5.x 驱动要写成com.mysql.jdbc.Driver，5.x 和 8.x 不能混用。mapper-locations决定了 MyBatis 去哪里找 XML，路径对不上就是下面要讲的经典报错。

这里也解释一下 springboot 自动装配原理在启动过程中的体现：@SpringBootApplication会触发 DataSourceAutoConfiguration，它按 classpath 里有没有连接池驱动来判断要不要帮你装配数据源。所以启动报Failed to configure a DataSource时，优先检查的是 url 和驱动坐标，而不是业务代码。另外注意 springboot版本太高的问题：如果 pom 里是 Spring Boot 3.x，JDK 必须 17 以上，且代码里的javax.servlet要换成jakarta.servlet，编译报错先看这处。

4.3 三个启动报错，按这个顺序排查

本地启动命令通常是mvn spring-boot:run，或者打包后java -jar target/cims.jar。最常见的三个报错和定位方法如下。

端口占用在 Linux 和 macOS 上这样查：

lsof -i:8080 # 找到 PID 后 kill -9 <PID>

参数说明：lsof -i:8080列出监听 8080 的进程，输出里有 PID 列；如果没装 lsof，可以用netstat -tlnp | grep 8080。Windows 上对应的是netstat -ano | findstr 8080，再用taskkill /PID <PID> /F。改端口时直接在 application.yml 里改server.port，前端请求地址要同步调整。

5. 演示通过之后还要做的三件事：定时提醒、上传限制和一处安全配置

视频录制里演示的都是“能跑”的路径，真正上线前还要补三个容易被忽略的细节。

5.1 中期检查提醒用 @Scheduled，别把 Cron 写死在配置里

立项六到十二个月后系统要提醒学生提交中期检查报告，纯靠人工催不现实。在启动类上加@EnableScheduling，然后在 Service 里写定时任务。

@Scheduled(cron = "0 0 9 * * MON") public void remindMidtermProjects() { List<Project> list = projectMapper.listNeedMidtermRemind(); list.forEach(p -> messageService.send( p.getLeaderId(), "您的项目「" + p.getProjectName() + "」需要提交中期检查")); }

Cron 表达式按秒、分、时、日、月、周排列，0 0 9 * * MON表示每周一上午九点触发。参数说明：查询条件是“状态为已立项且立项时间距今超过指定月数”，这个阈值建议放进数据库配置表而不是改代码，否则每次调整都要重新打包。

5.2 文件上传大小和 heapdump 泄露要尽早堵上

申报书、结题报告都是附件上传，Spring Boot 默认单文件 1MB 很容易失败。

spring: servlet: multipart: max-file-size: 20MB max-request-size: 50MB

max-file-size限制单个文件，max-request-size限制整个请求体，一次传多个附件时后者必须大于前者。

安全方面有个隐藏雷点：如果项目依赖了 spring-boot-starter-actuator，管理端默认暴露的 /actuator/heapdump 接口会把 JVM 堆内存整个下载下来。堆里常有数据库连接串、Token 甚至明文口令，这就是 springboot heapdump 敏感信息泄露漏洞的成因。生产环境把暴露范围收窄到最小：

management: endpoints: web: exposure: include: health,info

这样只保留健康检查。如果确实需要 metrics 做监控，也不要图省事用include: "*"，而是在前置网关或防火墙层面限制访问来源。

5.3 归档备份用 7z 命令行加密，恢复前先验证

项目结题后数据要归档，常见做法是 mysqldump 导出的 SQL 直接用 7z 命令行加密压缩，避免明文 SQL 流落到别人手里。

BACKUP_PASS='your-strong-password' mysqldump -uroot -p cims | 7z a -si -p"$BACKUP_PASS" -mhe=on backup.7z

参数说明：-si让 7z 从标准输入读取数据，-p指定口令，-mhe=on加密文件头，否则文件名列表仍会明文暴露表名和字段信息。恢复时反向操作：

7z x -so -p"$BACKUP_PASS" backup.7z | mysql -uroot -p cims

恢复完成后执行SELECT COUNT(*) FROM project;，和归档前记录的行数比对，数量对不上就说明管道中断在解压或导入环节，需要重跑而不是接着用残缺数据。

本文还有配套的精品资源，点击获取