简介：这是一套面向高校计算机专业学生与全栈开发初学者的毕业设计级实战项目，聚焦校园场景下的学术资源共享需求，提供从微信小程序前端到SpringBoot后端的完整技术闭环。资源包含可运行的小程序源码、后端Java工程、配套论文及答辩PPT，覆盖用户认证、资料上传下载、分类检索、权限控制等核心功能，适用于课程设计、毕设参考或技术栈整合学习。压缩包共782个文件，18.05MB，以135个Vue组件（小程序页面逻辑）、101个Java类（SpringBoot控制器、Service与实体层）、135个SVG/123个PNG（图标与界面素材）、75个JS（交互脚本）及33个WXML+34个WXSS（小程序视图与样式）为主，辅以SQL建表语句、YML配置、BAT部署脚本等工程化文件。目前已有150人学习下载，读者可直接导入开发环境运行调试，获取含目录结构说明、接口文档雏形、常见文件上传异常处理方案在内的全流程实践支撑。
1. 校园资料分享微信小程序：SpringBoot 后端 + 微信原生小程序前端，真能跑通“课程资料秒传+学号校验+PDF预览”闭环？
某高校计算机系导师带毕业设计时反复被学生问：“老师，上届的毕设文档、实验报告模板、答辩PPT能不能发我一份？”——但每次手动发、查重、防外泄都耗时耗力。后来团队用 SpringBoot 搭了一套轻量级资料共享系统，前端是微信原生小程序（非 uni-app 或 Taro），后端不接云开发，纯 Java RESTful 接口，核心功能就三件事：按课程/年级/类型三级分类上传资料、学号绑定+微信 openid 双校验下载权限、服务端转 PDF 预览链接（非直接暴露文件路径）。它不是 SaaS 平台，没有用户体系、没有消息推送、不搞积分商城，就是解决“资料找不着、传不出、不敢放”的具体问题。适合课程组快速部署、毕设小组私有化使用、实验室内部文档流转。如果你正卡在“小程序怎么连 SpringBoot”“PDF 怎么安全预览”“学号怎么和微信账号绑才不翻车”，这篇笔记就是为你拆的——所有代码、配置、数据库表结构、小程序 wx.request 调用姿势，全部来自真实跑通的最小可运行版本，不是 Demo，是能塞进校园局域网树莓派里跑一学期的生产级精简版。
2. 后端架构选型与 SpringBoot 工程搭建：为什么不用 Spring Security OAuth2，而用自定义 Token + 学号白名单？
2.1 为什么放弃标准认证方案？真实场景倒逼极简设计
校园场景下，用户身份天然明确：学号唯一、无密码管理需求、不涉及第三方登录。若强行套用 Spring Security OAuth2，需额外维护 client_id/client_secret、授权码流程、refresh_token 刷新机制——但学生只扫个码，填个学号，点个“确认绑定”，就要走完整 OAuth2 流程？血泪经验：某次部署到校内测试服务器，因 Nginx 未正确透传 Authorization Header，导致 /oauth/token 接口始终 401，排查 3 小时才发现是反向代理配置漏了proxy_set_header Authorization $http_authorization;。从此我们定下铁律：身份校验层必须可 debug、可日志、可绕过、无中间件依赖。最终采用「微信 openid + 学号」双因子明文校验 + JWT Token 签发，Token 仅含openid、studentId、exp三字段，签名密钥硬编码（上线前必改），有效期 7 天。好处是：curl 直接测接口、日志里一眼看到谁绑了哪个学号、出问题删 token 表记录即解绑。
2.2 初始化 SpringBoot 工程：关键依赖与目录结构
使用 Spring Initializr 创建基础工程（Spring Boot 2.7.18，JDK 11），勾选以下依赖：
- Spring Web
- MyBatis Framework
- MySQL Driver
- Lombok
- Validation（用于 @NotBlank 校验学号）
- 不勾选 Spring Security、Spring Data Redis、Spring Cloud（后续扩展再加）
项目结构精简为：
src/main/java/com/example/share/ ├── ShareApplication.java // 启动类 ├── config/ │ └── JwtConfig.java // JWT 密钥、过期时间、Header 名称配置 ├── controller/ │ ├── AuthController.java // /api/auth/bind 绑定学号、/api/auth/verify 校验Token │ ├── FileController.java // /api/file/upload 上传、/api/file/list 分类列表、/api/file/download 预览链接生成 │ └── AdminController.java // /api/admin/whitelist/add 白名单增删（仅管理员可用） ├── entity/ │ ├── User.java // openid + studentId + bindTime │ └── Resource.java // fileId, title, course, grade, type, filePath, uploadTime ├── mapper/ │ ├── UserMapper.java // XML 写法，含 bindUser、findByOpenid 等 │ └── ResourceMapper.java // listByCategory、findById、updateDownloadCount ├── service/ │ ├── AuthService.java // bindStudentId()、validateToken() │ └── FileService.java // uploadFile()、generatePreviewUrl()、listResources() └── util/ └── FileUtil.java // 文件存储路径生成、MIME 类型判断、PDF 转换工具封装提示：
FileUtil.generateStoragePath()方法生成形如/data/share/2024/springboot/202311001/report_v2.pdf的路径，不使用 UUID 作为文件名——便于人工排查、日志追踪、Nginx 静态映射。路径中嵌入学年（2024）、课程名（springboot）、学号（202311001），既是业务语义，也是安全隔离手段。
2.3 数据库建表：两张表搞定权限与资料
MySQL 8.0，字符集 utf8mb4，建表语句如下（已去注释，可直接执行）：
CREATE TABLE `user` ( `id` bigint NOT NULL AUTO_INCREMENT, `openid` varchar(64) NOT NULL COMMENT '微信openid', `student_id` varchar(16) NOT NULL COMMENT '学号，如202311001', `bind_time` datetime DEFAULT CURRENT_TIMESTAMP, `status` tinyint DEFAULT '1' COMMENT '1-有效，0-禁用', PRIMARY KEY (`id`), UNIQUE KEY `uk_openid` (`openid`), KEY `idx_student_id` (`student_id`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4; CREATE TABLE `resource` ( `id` bigint NOT NULL AUTO_INCREMENT, `file_id` varchar(32) NOT NULL COMMENT '业务ID，如RES_20240520_001', `title` varchar(128) NOT NULL COMMENT '资料标题', `course` varchar(32) NOT NULL COMMENT '所属课程，如JavaWeb', `grade` varchar(16) NOT NULL COMMENT '年级，如2022级', `type` varchar(16) NOT NULL COMMENT '类型：report/ppt/pdf/code', `file_path` varchar(255) NOT NULL COMMENT '服务器绝对路径，如/data/share/2024/javaweb/202211001/report.pdf', `upload_time` datetime DEFAULT CURRENT_TIMESTAMP, `download_count` int DEFAULT '0', `uploader_openid` varchar(64) NOT NULL, PRIMARY KEY (`id`), UNIQUE KEY `uk_file_id` (`file_id`), KEY `idx_course_grade_type` (`course`,`grade`,`type`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;注意file_path字段存的是服务器本地绝对路径，不是 URL。这是为了后续 Nginx 静态服务做准备，也避免 Java 代码拼接 URL 出错。file_id由后端生成（"RES_" + yyyyMMdd + "_" + String.format("%03d", seq)），不依赖数据库自增 ID，方便跨库迁移。
3. 小程序前端对接：wx.request 如何带 Token、如何处理 401 跳转、PDF 预览的三个坑
3.1 全局请求封装：拦截器式 Token 注入与错误统一处理
小程序不支持 axios，我们基于wx.request封装api.js，核心逻辑如下：
// utils/api.js const BASE_URL = 'https://your-server.com/api'; function request(options) { return new Promise((resolve, reject) => { // 1. 自动读取本地存储的 token const token = wx.getStorageSync('auth_token') || ''; // 2. 所有请求头注入 Authorization const header = { 'Content-Type': 'application/json', 'Authorization': token ? `Bearer ${token}` : '' }; wx.request({ url: BASE_URL + options.url, method: options.method || 'GET', data: options.data || {}, header: header, success: (res) => { if (res.statusCode === 200) { resolve(res.data); } else if (res.statusCode === 401) { // 3. 401 统一跳转到绑定页，清空 token wx.removeStorageSync('auth_token'); wx.navigateTo({ url: '/pages/bind/bind' }); reject(new Error('未授权，请先绑定学号')); } else if (res.statusCode >= 400) { reject(new Error(`请求失败：${res.data?.message || '未知错误'}`)); } }, fail: (err) => { reject(new Error('网络错误，请检查连接')); } }); }); } // 导出常用方法 export const authApi = { bindStudent: (data) => request({ url: '/auth/bind', method: 'POST', data }), verifyToken: () => request({ url: '/auth/verify' }) }; export const fileApi = { upload: (formData) => request({ url: '/file/upload', method: 'POST', data: formData }), list: (params) => request({ url: '/file/list', method: 'GET', data: params }), preview: (fileId) => request({ url: '/file/download', method: 'GET', data: { fileId } }) };逻辑说明：
request函数自动读取auth_token并注入Authorization: Bearer xxx，这是 SpringBoot 后端JwtAuthenticationFilter解析 Token 的前提。401响应触发强制跳转至/pages/bind/bind页面，不弹窗提示“请重新登录”——因为校园场景下，学生根本不知道“登录”是什么，他只知道“我要看资料，但系统让我填学号”。
3.2 PDF 预览：为什么不能直接 wx.openDocument？
小程序wx.openDocument要求文件 URL 必须是 HTTPS 且域名在request合法域名和downloadFile合法域名白名单中。但我们的 PDF 存在内网服务器/data/share/...路径下，Nginx 映射为https://share.your-school.edu.cn/files/...，该域名未必能加进微信后台白名单（尤其校内二级域名）。更关键的是：直接暴露文件 URL = 暴露所有资料路径，爬虫一扫全完蛋。
解决方案：后端提供/api/file/download?fileId=RES_20240520_001接口，返回 JSON：
{ "code": 200, "data": { "previewUrl": "https://share.your-school.edu.cn/preview/RES_20240520_001?token=abc123", "fileName": "JavaWeb实验报告.pdf" } }其中previewUrl是一个带一次性 token 的临时链接，Nginx 配置如下：
location ^~ /preview/ { # 1. 重写 URL，提取 fileId 和 token rewrite ^/preview/(RES_[0-9]{8}_[0-9]{3})\?token=([a-zA-Z0-9]+)$ /files/$1.pdf?token=$2 break; # 2. 代理到本地文件服务（假设 Python Flask 提供 /files/ 路径） proxy_pass http://127.0.0.1:5000; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; }而 Python Flask 服务（轻量，只为文件服务）收到/files/RES_20240520_001.pdf?token=abc123后，校验 token 有效性（查 Redis 或内存缓存），通过则send_file()，否则 403。这样既规避了微信域名白名单限制，又实现 URL 一次一签。
3.3 分类列表页：三级联动筛选的实现逻辑
小程序页面/pages/list/list需支持按「课程 → 年级 → 类型」三级筛选。后端/api/file/list接口接收course、grade、type三个可选参数，MyBatis XML 中使用<if>动态 SQL：
<!-- ResourceMapper.xml --> <select id="listByCategory" resultType="com.example.share.entity.Resource"> SELECT * FROM resource WHERE 1=1 <if test="course != null and course != ''"> AND course = #{course} </if> <if test="grade != null and grade != ''"> AND grade = #{grade} </if> <if test="type != null and type != ''"> AND type = #{type} </if> ORDER BY upload_time DESC </select>小程序端用wx:for渲染卡片，关键点在于：年级（grade）和类型（type）下拉选项不写死，而是从接口/api/file/list?course=JavaWeb返回的数据中动态提取去重值。例如：
// pages/list/list.js onLoad(options) { this.setData({ course: options.course || '' }); this.loadGradeOptions(); // 调用 /api/file/list?course=xxx 获取所有 grade }, loadGradeOptions() { fileApi.list({ course: this.data.course }).then(res => { const grades = [...new Set(res.data.map(item => item.grade))]; // 去重 this.setData({ gradeOptions: grades }); }); }这样保证数据一致性——新增一个 2024 级资料，年级下拉框自动出现“2024级”，无需改前端代码。
4. 文件上传与 PDF 预览服务：SpringBoot 如何安全接收 multipart、如何调用 LibreOffice 转 PDF？
4.1 小程序上传文件：wx.chooseMessageFile + wx.uploadFile 的完整链路
小程序不支持input[type=file]，必须用wx.chooseMessageFile选择文件，再用wx.uploadFile上传。关键注意事项：
wx.chooseMessageFile返回的tempFilePath是临时路径，必须在 24 小时内上传，且只能用一次；wx.uploadFile的filePath必须是tempFilePath，不能是wx.saveFile后的永久路径（后者无法上传）；- 后端接收时，不能用
@RequestParam MultipartFile file直接收流——因为小程序上传的Content-Type是multipart/form-data; boundary=xxxx，但字段名是file，而 SpringBoot 默认解析名为file的字段为MultipartFile，没问题；但若小程序端formData.append('file', tempFile)，后端就必须用@RequestParam("file") MultipartFile file显式指定。
后端 Controller 代码：
@PostMapping("/upload") public Result<String> uploadFile( @RequestPart("file") MultipartFile file, // 必须指定字段名 @RequestPart("metadata") String metadataJson) { // 额外 JSON 元数据，如 {course:"JavaWeb",grade:"2022级",type:"report"} try { // 1. 解析 metadata JSONObject meta = JSON.parseObject(metadataJson); String course = meta.getString("course"); String grade = meta.getString("grade"); String type = meta.getString("type"); // 2. 生成存储路径（复用 FileUtil） String storagePath = FileUtil.generateStoragePath(course, grade, type, file.getOriginalFilename()); // 3. 保存文件到磁盘 File dest = new File(storagePath); Files.createDirectories(dest.getParentFile().toPath()); // 创建父目录 file.transferTo(dest); // 4. 写入数据库 Resource resource = new Resource(); resource.setFileId("RES_" + DateUtil.todayStr() + "_" + String.format("%03d", getNextSeq())); resource.setTitle(FileUtil.getFileNameWithoutExt(file.getOriginalFilename())); resource.setCourse(course); resource.setGrade(grade); resource.setType(type); resource.setFilePath(storagePath); resource.setUploaderOpenid(getCurrentOpenid()); // 从 Token 解析 resourceMapper.insert(resource); return Result.success(resource.getFileId()); } catch (Exception e) { log.error("上传失败", e); return Result.fail("上传失败：" + e.getMessage()); } }参数说明：
@RequestPart("file")明确告诉 SpringBoot 从 multipart 中取名为file的部分；@RequestPart("metadata")取 JSON 字符串，比多个@RequestParam更灵活。DateUtil.todayStr()返回yyyyMMdd，getNextSeq()是数据库自增或 Redis INCR，确保fileId全局唯一。
4.2 PDF 预览生成：为什么用 LibreOffice 而不是 Apache POI？
学生上传的资料格式五花八门：.docx、.pptx、.xlsx、.txt，甚至.zip。要求预览时统一为 PDF，且保持排版。Apache POI 只能读.docx生成简单 HTML，对.pptx支持弱，且无法渲染公式、图表。而 LibreOffice Headless 模式可完美转换：
- 支持 100+ 格式：
.doc,.docx,.ppt,.pptx,.xls,.xlsx,.odt,.ods,.odp... - 输出 PDF 排版精准，保留字体、颜色、页眉页脚；
- 命令行调用稳定，无 JVM 内存泄漏风险。
我们在服务器安装 LibreOffice 7.4（Ubuntu 22.04）：
sudo apt update && sudo apt install libreoffice # 验证 libreoffice --version # LibreOffice 7.4.7.2SpringBoot 中调用转换的 Service 方法：
@Service public class PdfConvertService { private static final String SOFFICE_PATH = "/usr/bin/libreoffice"; private static final String WORK_DIR = "/tmp/soffice"; public String convertToPdf(String inputPath, String outputPath) throws Exception { // 1. 确保输出目录存在 Files.createDirectories(Paths.get(outputPath).getParent()); // 2. 构建命令：--headless --convert-to pdf --outdir /tmp/soffice /path/to/input.docx ProcessBuilder pb = new ProcessBuilder( SOFFICE_PATH, "--headless", "--convert-to", "pdf", "--outdir", WORK_DIR, inputPath ); pb.redirectErrorStream(true); Process process = pb.start(); int exitCode = process.waitFor(); if (exitCode != 0) { throw new RuntimeException("LibreOffice 转换失败，退出码：" + exitCode); } // 3. LibreOffice 生成的 PDF 名为 input.pdf（去掉扩展名），需重命名 String baseName = FilenameUtils.getBaseName(inputPath); String pdfPath = WORK_DIR + "/" + baseName + ".pdf"; if (!Files.exists(Paths.get(pdfPath))) { throw new RuntimeException("PDF 未生成：" + pdfPath); } Files.move(Paths.get(pdfPath), Paths.get(outputPath), StandardCopyOption.REPLACE_EXISTING); return outputPath; } }注意：
WORK_DIR必须是 LibreOffice 有写权限的目录，且不能是/tmp（某些系统会定期清理）。我们用/tmp/soffice并设置chmod 777 /tmp/soffice。转换后的 PDF 存入/data/share/preview/目录，由 Nginx 静态服务，不经过 Java 应用，降低并发压力。
4.3 预览链接生成：Token 有效期与 Redis 缓存策略
/api/file/download接口生成的previewUrl中token必须有时效性。我们采用 Redis 缓存（key=preview:token:abc123，value=fileId，expire=300s），理由：
- 内存快，毫秒级响应；
- 过期自动删除，无需定时任务；
- 单机部署足够，不引入 Redis 集群复杂度。
Controller 代码片段：
@GetMapping("/download") public Result<Map<String, String>> generatePreviewUrl(@RequestParam String fileId) { // 1. 查询资源是否存在且可访问（权限校验） Resource resource = resourceMapper.findById(fileId); if (resource == null) { return Result.fail("资料不存在"); } if (!canAccess(resource.getUploaderOpenid())) { // 校验当前用户是否有权下载 return Result.fail("无权限"); } // 2. 生成随机 token String token = UUID.randomUUID().toString().replace("-", "").substring(0, 16); // 3. 写入 Redis，5分钟过期 redisTemplate.opsForValue().set("preview:token:" + token, fileId, 5, TimeUnit.MINUTES); // 4. 构造预览 URL（Nginx 已配置 /preview/ 路由） String previewUrl = "https://share.your-school.edu.cn/preview/" + fileId + "?token=" + token; Map<String, String> data = new HashMap<>(); data.put("previewUrl", previewUrl); data.put("fileName", resource.getTitle() + ".pdf"); return Result.success(data); }关键点：
canAccess()方法校验当前用户（从 Token 解析出 openid）是否为上传者本人，或是否在管理员白名单中。不是所有资料都公开，而是“上传者可见 + 管理员可见”，符合校园资料分享的隐私要求。
5. 避坑指南：五个真实踩过的坑，每个都让项目停摆超 2 小时
5.1 现象：小程序wx.uploadFile一直报fail network error，但 Postman 调用后端接口正常
原因：SpringBoot 默认spring.servlet.context-path=/，但 Nginx 反向代理配置中写了proxy_pass https://backend/;（末尾有/），导致实际请求路径变成https://backend//api/file/upload，多了一个/。SpringBoot 对双斜杠路径默认 404，而小程序fail network error是底层网络层错误，不返回具体 HTTP 状态码，极易误判为网络问题。
解决：Nginx 配置改为proxy_pass https://backend;（无末尾/），或在 SpringBoot 中设置server.servlet.context-path=/api，保持路径层级一致。验证方式：浏览器直接访问https://your-server.com/api/auth/verify，看是否返回 200。
5.2 现象：上传.docx后 PDF 预览乱码，中文显示为方块
原因：LibreOffice 在 headless 模式下默认不加载中文字体，即使服务器已安装fonts-wqy-microhei，也需要显式指定字体路径。
解决：修改 LibreOffice 启动命令，添加-env:FontDir=/usr/share/fonts/truetype/wqy/参数，并确保该路径下有wqy-microhei.ttc。验证命令：libreoffice --headless --convert-to pdf --outdir /tmp test.docx 2>&1 | grep -i font，看是否报字体缺失。
5.3 现象：学生用不同微信账号绑定同一学号，后端没报错，但第二次绑定后第一次的 Token 失效
原因：user表中openid是唯一索引（uk_openid），但student_id没有唯一约束。当 A 同学用微信 A 绑定学号 202311001，B 同学用微信 B 也绑定 202311001，数据库插入成功，但AuthService.bindStudentId()方法中未检查student_id是否已被其他 openid 绑定。
解决：在bindStudentId()方法开头增加校验：
User existing = userMapper.findByStudentId(studentId); if (existing != null && !existing.getOpenid().equals(openid)) { throw new BusinessException("学号 " + studentId + " 已被其他微信账号绑定"); }同时给student_id字段加唯一索引（UNIQUE KEY uk_student_id (student_id)），双重保险。
5.4 现象：Nginx 静态服务 PDF 时，Chrome 浏览器能打开，iOS 微信内置浏览器打不开，提示“文件格式不支持”
原因：Nginx 默认types模块未包含application/pdfMIME 类型，或default_type设置为text/plain，导致 iOS 微信拒绝渲染。
解决：在nginx.conf的http块中确认包含：
include /etc/nginx/mime.types; default_type application/octet-stream;并检查/etc/nginx/mime.types中有application/pdf pdf;。重启 Nginx 后，用curl -I https://share.your-school.edu.cn/files/RES_20240520_001.pdf查看响应头Content-Type: application/pdf是否正确。
5.5 现象：wx.chooseMessageFile选择.zip文件后，后端MultipartFile.getOriginalFilename()返回null
原因：小程序在 iOS 上对压缩包等特殊格式文件，tempFilePath的元信息可能不完整，getOriginalFilename()无法获取原始名，返回null，导致FileUtil.generateStoragePath()报 NPE。
解决：增加空值保护，并 fallback 到时间戳 + 随机数：
String originalName = file.getOriginalFilename(); if (StringUtils.isBlank(originalName)) { originalName = "unknown_" + System.currentTimeMillis() + ".bin"; }同时在小程序端wx.chooseMessageFile后，用wx.getFileInfo获取size和digest，辅助判断文件类型，但name字段仍可能为空，故后端必须兜底。
6. 进阶技巧：用 Nginx 实现“零代码”权限分级与流量控制
6.1 基于请求头的简易权限路由：不改一行 Java 代码，实现“教师可删、学生只读”
SpringBoot 后端/api/file/delete接口本应做 RBAC 权限校验，但校园场景下，教师和学生账号天然分离：教师用微信工作号（openid开头为wework_），学生用个人号。我们利用 Nginx 的map指令，在反向代理层做前置分流：
# nginx.conf http 块内 map $http_authorization $is_teacher { ~*Bearer\s+wework_ 1; default 0; } server { listen 443 ssl; server_name share.your-school.edu.cn; # 教师专属接口：/admin/ 开头的，且 Authorization 含 wework_，才放行 location ^~ /api/admin/ { if ($is_teacher = 0) { return 403; } proxy_pass http://backend; proxy_set_header Host $host; } # 所有其他接口，正常代理 location ^~ /api/ { proxy_pass http://backend; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; } }这样，当学生用普通微信访问/api/admin/whitelist/add，Nginx 直接返回 403，连 SpringBoot 的 Controller 都不会进入，性能零损耗。而教师工作号的 Token 以wework_开头，map匹配成功，$is_teacher=1，放行。无需在 Java 层写@PreAuthorize("hasRole('TEACHER')")，也不用维护角色表。
6.2 用 Nginx 限流防止资料被批量爬取：每 IP 每分钟最多 20 次/api/file/download
资料分享系统最怕被爬虫扫光。我们不依赖 SpringBoot 的@RateLimiter（需引入 Sentinel 或 Resilience4j，增加复杂度），而用 Nginx 的limit_req模块：
# nginx.conf http 块内 limit_req_zone $binary_remote_addr zone=download:10m rate=20r/m; server { # ... 其他配置 location ^~ /api/file/download { # 对 download 接口应用限流 limit_req zone=download burst=5 nodelay; proxy_pass http://backend; proxy_set_header Host $host; } }解释：zone=download:10m定义一个 10MB 内存区域存 IP 计数；rate=20r/m表示每分钟最多 20 次请求；burst=5允许突发 5 次（防误触）；nodelay表示不延迟，超限直接 503。实测效果：单 IP 狂刷/api/file/download?fileId=xxx，第 21 次开始返回503 Service Temporarily Unavailable，爬虫脚本自然失效。
6.3 表格：Nginx 配置项与对应防护目标速查表
| Nginx 配置项 | 作用 | 生产环境建议值 | 验证方式 |
|---|---|---|---|
client_max_body_size 100m; | 限制上传文件大小，防大文件 DoS | 100m（覆盖 PPT、视频课件） | 上传 101MB 文件，应返回 413 |
proxy_buffering off; | 关闭代理缓冲，使大文件下载流式传输 | off（PDF 预览需实时响应） | 用curl -v看响应头是否有Transfer-Encoding: chunked |
add_header X-Content-Type-Options "nosniff"; | 防止 MIME 类型嗅探攻击 | 强制开启 | 浏览器开发者工具 → Response Headers 查看 |
limit_conn addr 10; | 单 IP 最多 10 个并发连接 | 10（防慢速攻击） | ab -n 100 -c 20 https://.../api/file/list，观察是否部分失败 |
从那以后我每次上线新功能，都强制走一遍这三步：
- 用
curl -H "Authorization: Bearer xxx"直接调后端接口，绕过小程序，确认逻辑正确； - 用手机微信扫码进入小程序，真机测试上传、列表、预览全流程；
- 打开 Chrome 开发者工具 → Network，过滤
preview，确认 PDF 请求的Content-Type是application/pdf，且响应状态码为 200。
少走一步，第二天就可能收到学生消息：“老师，PPT 打不开”。希望帮到你。
本文还有配套的精品资源，点击获取
