Sa-Token：轻量级权限认证框架

今天给大家分享一款轻量级的权限认证框架，可主要解决：登录认证、权限认证、单点登录、OAuth2.0、分布式Session会话、微服务网关鉴权 等一系列权限相关问题。

当你受够 Shiro、SpringSecurity 等框架的三拜九叩之后，你就会明白，相对于这些传统老牌框架，Sa-Token 的 API 设计是多么的简单、优雅！

应用场景

我们搭建服务监控、单体主页、自己做的一些无授权应用，为了防止被他人扫描或被攻击，我们可能需要自己添加授权，当然在服务器层面也可以添加授权，不过我们这里使用一个轻量级框架来完成。

比如：我公司给客户免费做了一个运维监控面板，由于客户不想花钱，我们最后商议就采用轻量级框架帮他解决安全问题。

功能一览

Sa-Token 目前主要五大功能模块：登录认证、权限认证、单点登录、OAuth2.0、微服务鉴权

登录认证 —— 单端登录、多端登录、同端互斥登录、七天内免登录
权限认证 —— 权限认证、角色认证、会话二级认证
Session会话 —— 全端共享Session、单端独享Session、自定义Session
踢人下线 —— 根据账号id踢人下线、根据Token值踢人下线
账号封禁 —— 登录封禁、按照业务分类封禁、按照处罚阶梯封禁
持久层扩展 —— 可集成Redis、Memcached等专业缓存中间件，重启数据不丢失
分布式会话 —— 提供jwt集成、共享数据中心两种分布式会话方案
微服务网关鉴权 —— 适配Gateway、ShenYu、Zuul等常见网关的路由拦截认证
单点登录 —— 内置三种单点登录模式：无论是否跨域、是否共享Redis，都可以搞定
OAuth2.0认证 —— 轻松搭建 OAuth2.0 服务，支持openid模式
二级认证 —— 在已登录的基础上再次认证，保证安全性
Basic认证 —— 一行代码接入 Http Basic 认证
独立Redis —— 将权限缓存与业务缓存分离
临时Token认证 —— 解决短时间的Token授权问题
模拟他人账号 —— 实时操作任意用户状态数据
临时身份切换 —— 将会话身份临时切换为其它账号
前后台分离 —— APP、小程序等不支持Cookie的终端
同端互斥登录 —— 像QQ一样手机电脑同时在线，但是两个手机上互斥登录
多账号认证体系 —— 比如一个商城项目的user表和admin表分开鉴权
Token风格定制 —— 内置六种Token风格，还可：自定义Token生成策略、自定义Token前缀
注解式鉴权 —— 优雅的将鉴权与业务代码分离
路由拦截式鉴权 —— 根据路由拦截鉴权，可适配restful模式
自动续签 —— 提供两种Token过期策略，灵活搭配使用，还可自动续签
会话治理 —— 提供方便灵活的会话查询接口
记住我模式 —— 适配[记住我]模式，重启浏览器免验证
密码加密 —— 提供密码加密模块，可快速MD5、SHA1、SHA256、AES、RSA加密
全局侦听器 —— 在用户登陆、注销、被踢下线等关键性操作时进行一些AOP操作
开箱即用 —— 提供SpringMVC、WebFlux等常见web框架starter集成包，真正的开箱即用

环境集成

官网给出了SpringBoot、WebFlux集成方式，我们这里采用SpringBoot方式

创建项目
由于我们这里有现成的项目，如果没有的朋友，可以参考SpringBoot-Pure创建项目

添加依赖

<dependency>
 <groupId>cn.dev33</groupId>
 <artifactId>sa-token-spring-boot-starter</artifactId>
 <version>1.33.0</version>
</dependency>

Maven依赖拉取失败参考以下步骤

项目重启
IDEA项目右键 -> Maven -> Reload Project
网络不稳定导致，删除未下载完成jar包，重新下载，目录：C:\Users\你的电脑用户名\.m2\repository\cn\dev33
可能你给你的 Maven 配置了阿里云镜像，而部分 jar 包无法通过阿里云镜像加载成功
打开你的 Maven setting.xml 文件，看看有没有以下配置：

<mirror>
    <id>nexus-aliyun</id>
    <mirrorOf>central</mirrorOf>
    <name>Nexus aliyun</name>
    <url>http://maven.aliyun.com/nexus/content/groups/public</url>
</mirror>

如果有的话，先把它注释掉（注释掉就直连 Maven 中央仓库了），或者修改为其它的镜像，例如腾讯云的：

<mirror>
    <id>tencent</id>
    <name>tencent maven</name>
    <url>http://mirrors.cloud.tencent.com/nexus/repository/maven-public/</url>
    <mirrorOf>central</mirrorOf>
</mirror>

然后重启你的代码编辑器，重新构建项目，我是第四种情况，按照操作成功了。

配置文件
也可以零配置直接启动，不过还是建议配置，个性化定制
{% tabs %}

server:
 # 端口
 port: 8081

############## Sa-Token 配置 (文档: https://sa-token.cc) ##############
sa-token:
 # token名称 (同时也是cookie名称)
 token-name: satoken
 # token有效期，单位s 默认30天, -1代表永不过期
 timeout: 2592000
 # token临时有效期 (指定时间内无操作就视为token过期) 单位: 秒
 activity-timeout: -1
 # 是否允许同一账号并发登录 (为true时允许一起登录, 为false时新登录挤掉旧登录)
 is-concurrent: true
 # 在多人登录同一账号时，是否共用一个token (为true时所有登录共用一个token, 为false时每次登录新建一个token)
 is-share: true
 # token风格
 token-style: uuid
 # 是否输出操作日志
 is-log: false

# 端口
server.port=8081

############## Sa-Token 配置 (文档: https://sa-token.cc) ##############

# token名称 (同时也是cookie名称)
sa-token.token-name=satoken
# token有效期，单位s 默认30天, -1代表永不过期
sa-token.timeout=2592000
# token临时有效期 (指定时间内无操作就视为token过期) 单位: 秒
sa-token.activity-timeout=-1
# 是否允许同一账号并发登录 (为true时允许一起登录, 为false时新登录挤掉旧登录)
sa-token.is-concurrent=true
# 在多人登录同一账号时，是否共用一个token (为true时所有登录共用一个token, 为false时每次登录新建一个token)
sa-token.is-share=true
# token风格
sa-token.token-style=uuid
# 是否输出操作日志
sa-token.is-log=false

{% endtabs %}

启动类
在项目com.mx.auth包中创建，SaTokenDemoApplication.java，复制以下代码：

@SpringBootApplication
public class SaTokenDemoApplication {
 public static void main(String[] args) throws JsonProcessingException {
     SpringApplication.run(SaTokenDemoApplication.class, args);
     System.out.println("启动成功：Sa-Token配置如下：" + SaManager.getConfig());
 }
}

创建测试Controller

@RestController
@RequestMapping("/user/")
public class UserController {

 // 测试登录，浏览器访问： http://localhost:8080/user/doLogin?username=manxin&password=123456
 @RequestMapping("doLogin")
 public String doLogin(String username, String password) {
     // 此处仅作模拟示例，真实项目需要从数据库中查询数据进行比对
     if("manxin".equals(username) && "123456".equals(password)) {
         StpUtil.login(10001);
         return "登录成功";
     }
     return "登录失败";
 }
 // 查询登录状态，浏览器访问： http://localhost:8080/user/isLogin
 @RequestMapping("isLogin")
 public String isLogin() {
     return "当前会话是否登录：" + StpUtil.isLogin();
 }
}

验证

访问controller中两个接口，验证

验证通过后，就可以正常返回数据了，大家也去试试吧

总结

轻量级的权限应用场景其实也蛮多，选择合适的才是最重要的，如果对源码有兴趣的也可以看看

Gitee、Github、官方文档

Sa-Token：轻量级权限认证框架

应用场景

功能一览

环境集成

总结

发表评论