南宫北狄最近在整理自己的毕业论文材料，翻出当时做的 PHP 高校网络课程资源平台，发现这个项目虽然不算前沿，但五脏俱全，从用户登录、课程管理、文件上传到视频播放、评论交互，几乎把 Web 开发的基础知识点全串起来了。如果你也正在准备 PHP 方向的毕业设计，或者接到类似的需求，这篇内容应该能省下不少折腾的时间。我会把需求分析、技术选型、数据库设计、核心功能实现、常见雷区和论文写作经验一股脑地讲清楚，尽量让有 PHP 基础但还没实际做过完整项目的同学也能顺利复现。
1. 项目定位与技术路线：为什么高校课程平台非 PHP 不可
1.1 这类平台到底在解决什么问题
高校里的网络课程资源往往散落在各个任课老师的个人电脑、QQ 群文件或者网盘链接里，学生找资料靠朋友圈转发和口口相传，老师和教务管理员想统计哪些资源最受欢迎也没有数据。高校网络课程资源平台要做的就是把这些资源集中起来：课程信息统一录入，课件、实验指导书、视频、参考文献分类上传，学生通过浏览器按课程检索、在线预览或下载，教师可以管理自己的课程内容和资源目录，管理员在后台负责用户审核、课程分类和全局统计。本质上是一个内容管理系统（CMS），但比普通 CMS 多了课程与教师的关联关系、资源类型的区分、以及在线播放这类媒体需求。
这个定位决定了系统的核心难点不在算法，而在严谨的增删改查和数据关联。比如一个用户拥有教师和学生两种角色，教师发布的资源最初是待审核状态，学生在课程详情页只能看到已审核资源。这些业务规则如果靠脑补去写代码，后续改起来会非常痛苦。所以第一步一定要把角色权限、审核状态、资源类型这些概念在需求分析阶段定义清楚，否则后面只能用一堆 if else 硬撑，毕业论文里也很难画出像样的数据流图。
1.2 技术选型：原生 PHP、框架还是前后端分离
很多同学纠结毕业设计用原生 PHP 还是 ThinkPHP/Laravel。我的建议是：如果学校没有强制要求用框架，优先考虑原生 PHP + MySQL，理由有三。第一，毕业设计的核心是展示你对 Web 开发底层原理的理解，原生写法能让你讲清楚 $_SESSION、$_FILES、SQL 预处理这些概念，而用框架容易写出“会调用但不懂原理”的代码；第二，原生项目部署非常简单，一个 Apache/Nginx + PHP 环境就能跑，不会被框架的版本兼容问题拖后腿；第三，论文查重时，原生代码的注释和教学设计更容易写出差异化内容，因为框架生成的代码千篇一律。
当然，如果你对面向对象已经比较熟练，也可以采用轻量级自封装 MVC 结构，比如建立 core/Controller.php、core/Model.php 两个基类，然后各业务控制器继承。这样既能体现架构能力，又没有引入框架的复杂度。我自己的项目就是这种折中方案：入口文件 index.php 做路由分发，根据参数调用不同的控制器，控制器里调用模型层方法，模板文件单独存放。听起来简单，但写起来很清爽，也很适合写进论文的“系统架构设计”章节。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 功能模块与数据库设计：先把表关系理顺，后面代码才不慌
2.1 模块划分与流程梳理
按照用户角色可以把平台拆成四个面板：前台游客可以浏览公开课程和资源列表、注册登录；学生登录后可以申请选课、查看自己课程下的资源、下载资料、发表评论；教师可以创建课程、上传资源、管理自己的课程内容；系统管理员在后台管理用户状态、课程分类、审核教师上传的资源、查看访问日志。
其中审核流程是毕业论文里比较出彩的点。教师上传一份课件后，状态默认是 pending，管理员审核通过后状态变为 published，学生才能看到。这既体现了权限控制，又引入了状态机的概念，在论文的“核心业务设计”里可以画一张状态转换图，评委看到会觉得你有工程思维。我在实际实现时，还给资源表加了一个 is_delete 逻辑删除字段，这样管理员删除资源时只是掩码标记，学生端不再显示，但恢复起来很方便，避免了误删。
2.2 数据库表设计实例
我设计了六张核心表：用户表 sys_user，课程表 course，课程分类表 category，资源表 resource，评论表 comment，以及用于记录用户选课关系的 user_course 中间表。下面给出关键表的字段设计，你可以直接参考。
sql复制-- 用户表
CREATE TABLE `sys_user` (
`id` int(11) NOT NULL AUTO_INCREMENT,
`username` varchar(50) NOT NULL COMMENT '登录账号',
`password` varchar(255) NOT NULL COMMENT '密码哈希值',
`real_name` varchar(50) DEFAULT NULL COMMENT '真实姓名',
`email` varchar(100) DEFAULT NULL COMMENT '邮箱',
`role` tinyint(1) NOT NULL DEFAULT '0' COMMENT '0学生 1教师 2管理员',
`status` tinyint(1) NOT NULL DEFAULT '1' COMMENT '1正常 0禁用',
`create_time` datetime DEFAULT NULL,
PRIMARY KEY (`id`),
UNIQUE KEY `uk_username` (`username`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;
sql复制-- 资源表
CREATE TABLE `resource` (
`id` int(11) NOT NULL AUTO_INCREMENT,
`course_id` int(11) NOT NULL COMMENT '所属课程',
`title` varchar(200) NOT NULL COMMENT '资源标题',
`file_path` varchar(255) NOT NULL COMMENT '存储路径',
`file_type` tinyint(1) DEFAULT '0' COMMENT '0文档 1视频 2图片 3其他',
`file_size` int(11) DEFAULT '0' COMMENT '字节数',
`download_count` int(11) DEFAULT '0',
`status` tinyint(1) DEFAULT '0' COMMENT '0待审核 1已发布 2已拒绝',
`is_delete` tinyint(1) DEFAULT '0',
`create_time` datetime DEFAULT NULL,
PRIMARY KEY (`id`),
KEY `idx_course` (`course_id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;
设计时需要特别注意：密码字段长度必须够，因为 password_hash() 生成的结果是 60 个字符，很多同学用 varchar(32) 存 MD5，后面换哈希算法就装不下了。所有表都用 utf8mb4，不用 utf8，否则存 emoji 和特殊符号会报错。课程表和用户表之间通过 user_course 中间表关联，这能支持“一个学生选多门课、一门课有多个学生”的多对多关系。评论表要冗余一个 user_name 字段，避免每次显示评论都去连表查用户名，虽然不符合第三范式，但这是典型的空间换时间的优化，在论文里要解释清楚为什么这么设计。
2.3 数据库连接与公用的增删改查方法
不要在每个文件里反复写 mysqli_connect，我写了一个 Db 单例类，用 PDO 做数据库连接，并开启预处理模式。PDO 能有效防止 SQL 注入，而且切换数据库方便。核心代码如下：
php复制<?php
class Db
{
private static $instance = null;
private $pdo;
private function __construct($config)
{
$dsn = "mysql:host={$config['host']};dbname={$config['dbname']};charset={$config['charset']}";
$this->pdo = new PDO($dsn, $config['user'], $config['pass'], [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
]);
}
public static function getInstance($config)
{
if (self::$instance === null) {
self::$instance = new self($config);
}
return self::$instance;
}
public function query($sql, $params = [])
{
$stmt = $this->pdo->prepare($sql);
$stmt->execute($params);
return $stmt;
}
public function fetchAll($sql, $params = [])
{
return $this->query($sql, $params)->fetchAll();
}
public function fetchOne($sql, $params = [])
{
return $this->query($sql, $params)->fetch();
}
}
每次操作数据库时统一用 query 方法传入占位符参数，比如 $db->fetchAll("SELECT * FROM resource WHERE course_id=? AND status=1", [$courseId])。这样写出来的代码在论文附录里也显得干净。
3. 核心功能实现与难点拆解：从登录到视频播放一次讲透
3.1 用户注册、登录与安全防护
登录是整个系统的基础，也是最容易被扣分的地方。很多初学代码喜欢用 SELECT * FROM user WHERE username='$name' AND password='$pwd'，这是最典型的 SQL 注入靶子。正确写法是先根据用户名查记录，再用 password_verify 验证密码哈希，流程如下：
php复制$stmt = $db->query("SELECT * FROM sys_user WHERE username=?", [$username]);
$user = $stmt->fetch();
if ($user && password_verify($password, $user['password'])) {
$_SESSION['uid'] = $user['id'];
$_SESSION['role'] = $user['role'];
// 记录登录日志
} else {
// 提示失败
}
注册时的密码不要自己拼随机盐，直接调用 password_hash($password, PASSWORD_DEFAULT)，它内部会用随机盐和 bcrypt 算法，即使两个用户密码相同，哈希结果也不同。对于“注册后验证消息”这个需求，可以在用户表加一个 verify_token 字段和 verify_expire 字段，注册时生成一个随机 token 存到数据库，然后发送一封带有“域名/verify.php?token=xxx”链接的邮件。用户点击链接后把 status 从 0 更新为 1。虽然多数毕设没有真正的 SMTP 服务器，但可以封装一个 sendMail 接口，在论文里写清原理，实在不行就用模拟方式，把验证链接直接打印在页面上，证明逻辑是通顺的。
登录页肯定要加验证码，避免机器人脚本刷接口。最轻量的是用 PHP GD 库生成图片验证码：创建一个画布，填充背景色，随机画几条干扰线，再把 $_SESSION['code'] 存下来，输出 imagepng。前端表单把用户输入和图片同表单提交，服务端比较时最好用 strtolower 统一大小写。我在实测中发现，很多虚拟主机没有装 GD 扩展，但几乎都有 imagettftext 函数依赖的 Freetype 库，如果连 GD 都没有，可以用 imagecreatetruecolor 的替代方案，或者直接用 mt_rand 生成一串字符放到一个隐藏输入框，然后前端渲染 base64 图片。注意一定不要用 <img src="captcha.php"> 之外的方式，否则刷新验证码会被缓存。
3.2 文件上传与下载：所有细节都在坑里
课程资源核心是文件上传。HTML 表单要设置 enctype="multipart/form-data"，接收端通过 $_FILES['file'] 拿到文件。我见过最粗心的代码是直接用 move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/'.$_FILES['file']['name'])，这会导致两个问题：文件名撞车和任意文件上传漏洞。正确做法是生成一个新的随机文件名，保留原文件的扩展名。扩展名需要用白名单过滤，比如只允许 pdf,doc,docx,ppt,pptx,xls,xlsx,zip,rar,mp4,mp3,jpg,png,gif，不能靠用户传来的 type 字段，因为那个字段可以伪造。用 pathinfo($filename, PATHINFO_EXTENSION) 获取扩展名后，再用 in_array 判断。
上传文件大小限制不仅涉及 php.ini 的 upload_max_filesize，还涉及 post_max_size，两者的关系是：post_max_size 必须大于 upload_max_filesize，否则提交的数据可能被截断。另外，如果前端用了 apache 的 mod_security，有可能拦截大文件请求。在代码层面我也加了一步：获取 $_FILES['file']['size']，如果超过 200MB 就直接拒绝。实际的课程视频经常有几百 MB，所以我在项目里把视频上传单独做了分片上传，但那对毕业论文来说过于复杂，用 Flash 时代的 <iframe> 无刷新上传也行。如果确实要传大视频，建议在论文里专门一节写“基于切片的上传方案”，并给出关键思路：前端把文件用 JavaScript 分割成 2MB 的块，每次上传一块带着一个唯一的 upload_id，服务端把块数据写入临时目录并记录索引，最后合并。这是加分项。
文件下载时，为了避免直接暴露 uploads 路径导致目录遍历，我写了一个 download.php?id=xx 的入口，从库里查出文件路径后，用 readfile 输出，并用 header 设置 Content-Type: application/octet-stream。同时每次下载把 download_count 加一，这样管理员后台就能统计热门资源。
3.3 视频在线播放与数据交互
视频播放最省事的方法是把视频文件放在 uploads/videos/ 目录中，HTML5 的 <video> 标签直接引用相对路径：
html复制<video controls preload="metadata" src="uploads/videos/<?php echo $video['file_name']; ?>"></video>
但要考虑浏览器兼容性，最好用 video.js 或 DPlayer 这类开源播放器做外壳。如果视频文件较大，普通服务器不支持 Range 请求，拖进度条会卡顿。Apache/Nginx 一般默认支持 Range，但 PHP 内置服务器（php -S）不支持，所以本地调试时不要指望拖拽流畅，那不等于代码错了。
在线预览文档，比如 PDF，可以直接用浏览器内置的 <iframe src="uploads/xxx.pdf"> 播放。但 Word/PPT 没有原生支持，建议转成 PDF 再展示。如果不想引入转换服务，更简单的方式是提供一个下载按钮，标题注明“请下载后查看”。
这里顺便说一下前后端数据交互的细节。我的后台页面里不少功能通过 Ajax 请求实现，用 PHP 返回 JSON 数据。一定在接口文件开头设置正确的响应头：
php复制header('Content-Type: application/json; charset=utf-8');
然后 echo json_encode($data, JSON_UNESCAPED_UNICODE);，这样中文不会变成 \uXXXX。如果你把前端项目和后端分开部署在两个域名，就会遇到跨域问题。最简单的解决方案是在 PHP 接口文件顶部加一行：
php复制header('Access-Control-Allow-Origin: http://allowed-site.com');
不能随便写成 *，否则浏览器会警告携带凭证的跨域请求不安全。如果使用 JSONP，就用 $_GET['callback'] 包一层，但 JSONP 只能 GET，不推荐在毕业设计里搞得花里胡哨，直接用同源部署最稳妥。我自己的项目把前后端放在同一个项目目录下，通过路由参数区分页面，完全规避了跨域。
3.4 搜索、分页与联合查询
课程列表和资源列表必须支持分页。不要用一次把所有数据查出来再在 PHP 里 array_slice，数据量大时很慢。标准做法是用 SQL LIMIT，先 count 总条数再算总页数。关键词搜索用 LIKE，但要防止用户输入 % 造成通配符注入，可以在拼接前转义：
php复制$keyword = trim($keyword);
$keyword = addcslashes($keyword, '%_');
// 然后构造条件
$where = ' title LIKE ?';
$params[] = "%{$keyword}%";
这个技巧很多同学不知道，实测搜索“%_”这类字符时结果会异常。如果能接受更高级的方案，可以在 resource 表上建 FULLTEXT 索引，用 MATCH ... AGAINST 做全文检索，比 LIKE 快很多，但要注意 utf8mb4 的全文检索还有分词格式限制，中文效果一般，所以毕业设计用 LIKE 足够。
联合查询主要用于课程详情页展示资源列表和评论列表。课程详情页要显示“相关资源”，需要关联 resource 表和 sys_user 表找到上传教师；评论列表关联 comment 表和 sys_user 表显示评论者昵称。不要写三层嵌套的子查询，用 LEFT JOIN 一次搞定：
sql复制SELECT c.*, u.real_name AS teacher_name
FROM course c
LEFT JOIN sys_user u ON c.teacher_id = u.id
WHERE c.id = ?;
这里 LEFT JOIN 比 INNER JOIN 安全，因为即使课程没有关联教师（自动导入的老数据），课程也不会消失。评论列表分页时也可以顺便统计一下评论总数，展示在页面上。
3.5 PHP 错误处理与调试环境配置
写毕设时最头疼的是报错信息不显示，页面白屏。要在入口文件设置显示错误，但不能在生产环境暴露堆栈。我的做法是在 index.php 开头：
php复制if (defined('DEBUG') && DEBUG) {
error_reporting(E_ALL);
ini_set('display_errors', '1');
} else {
error_reporting(0);
ini_set('display_errors', '0');
ini_set('log_errors', '1');
}
开发时我在一个 config.php 里把 DEBUG 定义为 true，页面报错直接显示行号和错误类型，方便定位。线上环境就改为 false，然后把错误日志写到 logs/error.txt。所有 SQL 错误可以用 PDOException 捕获，在 /common/exception_handler.php 里统一处理。
调试工具我强烈推荐 VSCode + Xdebug。装好 Xdebug 扩展后，在 php.ini 加上：
ini复制xdebug.mode=debug
xdebug.start_with_request=yes
然后在 VSCode 安装 PHP Debug 插件，配置 launch.json 里的 port 为 9003。这样你可以在 PHP 代码里打断点，逐步看 $_POST、$_SESSION 的值，排查逻辑错误比 var_dump 和 die 高效多了。如果你用宝塔面板部署生产环境，开启 PHP 扩展也很方便，在 PHP 版本管理页面直接勾选 xdebug 和 gd 即可。
4. 实战中的常见雷区与排查技巧
4.1 文件上传总是提示“上传失败”
一般有三个原因。第一是 upload_max_filesize 或 post_max_size 设置太小，用 phpinfo() 查一下当前值，修改后重启 PHP-FPM；第二是目标目录 uploads/ 没有写权限，在 Linux 下执行 chmod -R 755 uploads，如果还不行就 chown 给 www 用户；第三是 HTML <form> 忘写 enctype="multipart/form-data"，服务端 $_FILES 永远为空。排查时可以用 print_r($_FILES) 先确认数据有没有到达后端。
还有一个小细节：上传文件时我习惯在移动文件前检查 is_uploaded_file($tmpfile)，虽然它是安全函数，但很多共享主机上会发生移动到其他目录失败的情况，原因在于 PHP 没有权限读取临时文件。换成 file_exists + rename 也不是好办法，建议直接检查目录权限。
4.2 验证码不显示或后台 404
验证码不显示大多是 GD 库缺失。用 php -m | grep gd 检查。如果确认存在，仍然不显示，八成是你之前在文件里用了 header('Content-Type: image/png') 之后又输出了空格或 echo 了调试信息，导致图片数据污染。检查一下文件开头是否有多余的 UTF-8 BOM 或者 PHP 结束符 ?> 后面有换行。我直接在 captcha.php 里写完代码后不关闭 PHP 标签，这样能避免 90% 的“图片已损坏”问题。
后台 404 的场景多半是在 Apache 下没有开启 mod_rewrite，导致伪静态规则失效。如果你的路由是通过 index.php?m=admin&c=Course&a=list 传参实现的，就不需要重写规则，只要配置好默认访问入口。我记得自己最初用了 PATH_INFO 模式，在 Nginx 下需要额外配置 try_files，后来把所有链接改成普通查询参数，省了一堆麻烦。
4.3 中文乱码、序列化与安全警告
全站中文乱码，先检查三处是否一致：HTML 文件头部 meta charset="utf-8"、PHP 连接 PDO 时的 charset=utf8mb4、数据库表字段的 collation。只要三处全是 utf8，乱码基本不可能。如果数据是从旧库迁移过来的，可能表里存的是 GBK，那要在连接后执行 SET NAMES utf8mb4 后再读取，但显示乱码的根源还要用 CONVERT 函数或者内存转码来解决。
“序列化”相关的问题是毕设答辩常被追问的点。如果你把对象直接存到 $_SESSION 或数据库里，PHP 会自动序列化，但要注意不要反序列化用户可控的输入，否则可能触发对象注入漏洞。我有个同学在项目中用 unserialize($_POST['data'])，结果被安全测试老师一眼看穿。解决方式是：能做到 “只存储标量数据” 就不要序列化；必须保存对象时，用 json_encode 和 json_decode，JSON 不会触发 PHP 魔术函数调用，安全系数更高。比如用户购物车、筛选条件的临时状态，我都用 JSON 字符串存。
特别提醒，php.ini 里的 session.use_strict_mode=1 一定要开启，防止会话固定攻击。另外设置 session_regenerate_id(true) 在用户登录成功后重新生成 session id，这样攻击者无法利用已知的 session id 伪装登录。虽然这些细节不一定会被评委看到，但写在论文“系统安全设计”里是实打实的加分项。
4.4 性能优化：单页加载慢与数据库连接过多
课程列表页如果每页显示 50 条资源，正常不会慢。如果感觉卡顿，优先检查是否在循环里执行数据库查询，比如先查列表再在循环里查每个人的名字，这种 N+1 查询最容易拖慢页面。解决方案是用一次 JOIN 把资源表和用户名字一起查出来，然后用 PHP 在内存里做二维数组键值对应。这里顺便说一个实用函数：array_column。比如你把资源表 course_id 取出来，然后用 array_column 映射到资源标题，就可以快速生成一个字典，避免写多个 SQL。比如：
php复制$resources = $db->fetchAll("SELECT id, course_id, title FROM resource WHERE status=1");
$courseMap = $db->fetchAll("SELECT id, name FROM course WHERE id IN (" . implode(',', array_unique(array_column($resources, 'course_id'))) . ")");
另外，给 resource.course_id 和 sys_user.username 都加上索引。在毕业论文里附上一条 EXPLAIN 命中的索引截图，会显得你懂调优。
5. 毕业论文写作与答辩准备
5.1 论文结构怎么搭才能与代码对应
用 PHP 做毕设，论文很难完全照搬。我的论文目录是：绪论（背景与意义、国内外现状）、系统相关技术介绍（PHP、MySQL、Apache/Nginx）、系统需求分析（功能性需求、非功能性需求、用例图）、系统设计（总体架构、模块设计、数据库设计）、系统实现（各模块截图加核心代码解说）、系统测试（功能测试用例表、性能测试简单数据）、总结与展望。每一章都要和你的代码对应起来。比如“系统实现”这一章写注册登录模块时，贴一段 password_hash 的核心代码，配上登录页截图、注册流程图，说明这个模块实现了什么功能、如何处理异常，这样不会显得东拼西凑。
有同学担心代码贴太多会被查重标红。我的经验是核心代码控制在 10 行左右，把关键逻辑文字化描述，比如“先用 PDO 预处理占位符查询，再用内置函数验证哈希”，然后只贴精简版的代码块。这样既能展示工作量，又不会整段复制热门代码库。
5.2 论文图表与数据整理
图表是论文的底气。用例图可以用 StarUML 或 ProcessOn 画，E-R 图用 Workbench 从数据库反向导出后微调。数据流图、状态转换图如果不会画，也可以用 Word 里的形状功能手绘。更重要的是测试数据：上传十几份不同后缀的资源文件、注册教师和学生账号、设置不同审核状态，把每一步的测试结果截图记录。答辩老师翻到“系统测试”一章，看到有图有真相，比空口说“本人测试过”有说服力得多。性能测试可以随手记录一个查询响应时间表，比如“在有 500 条资源记录时，点击课程详情页耗时 42ms”，这个数字就够说明问题了。
5.3 答辩时被追问的高频问题
答辩最能拉分的不是项目多炫，而是你能把为什么用 PHP 而不是 Java 说得头头是道。我准备了几个高频问题及答案：为什么要用 PDO？答案是为了防 SQL 注入，同时支持多种数据库；如何保证上传文件安全？答案是从后缀白名单、MIME 检测、目录权限、随机文件名四个方面做；为什么视频预览推荐 HTML5 而不是 Flash？答案是 HTML5 无需安装插件、支持移动端、浏览器升级后可自动更新播放策略。还有“你的系统怎么解决并发选课”这类问题，可以诚实回答说毕业设计场景下没有在数据库层面做乐观锁，只在用户选课时检查重复选课记录，并用 INSERT IGNORE 尽量减少冲突。这种不夸大、承认边界的态度，反而比硬编一个“高并发设计”更受认可。
一些踩过坑后的个人体会
回头看这个项目，最值钱的不是代码本身，而是把零散的知识点串成了完整的系统。比如文件上传、登录验证、JSON 输出、跨域、SQL 注入、XSS 过滤，单独看每个都很简单，但组合在一起就会暴露各种细节问题。如果你也正在写 PHP 方向的毕业设计，建议先花两天时间把数据库表和页面流转图画清楚，再动手敲代码，否则中途改需求会让你想哭。部署时别一上来就买昂贵服务器，先在本机用 php -S localhost:8080 -t public 快速验证功能，等没问题再迁到宝塔面板。最后提醒一句：所有上传目录都要配置禁止执行 PHP 脚本的规则，这是你系统安全的最后一道防线，也是答辩时被问到“怎么防 webshell 上传”时的标准答案。希望这篇经验能让你少走几步弯路，顺利通关。