今天给大家分享一款轻量级的权限认证框架，可主要解决：登录认证、权限认证、单点登录、OAuth2.0、分布式Session会话、微服务网关鉴权等一系列权限相关问题。

当你受够Shiro、SpringSecurity等框架的三拜九叩之后，你就会明白，相对于这些传统老牌框架，Sa-Token的 API 设计是多么的简单、优雅！

应用场景

我们搭建服务监控、单体主页、自己做的一些无授权应用，为了防止被他人扫描或被攻击，我们可能需要自己添加授权，当然在服务器层面也可以添加授权，不过我们这里使用一个轻量级框架来完成。

比如：我公司给客户免费做了一个运维监控面板，由于客户不想花钱，我们最后商议就采用轻量级框架帮他解决安全问题。

功能一览

Sa-Token 目前主要五大功能模块：登录认证、权限认证、单点登录、OAuth2.0、微服务鉴权

  • 登录认证 —— 单端登录、多端登录、同端互斥登录、七天内免登录
  • 权限认证 —— 权限认证、角色认证、会话二级认证
  • Session会话 —— 全端共享Session、单端独享Session、自定义Session
  • 踢人下线 —— 根据账号id踢人下线、根据Token值踢人下线
  • 账号封禁 —— 登录封禁、按照业务分类封禁、按照处罚阶梯封禁
  • 持久层扩展 —— 可集成Redis、Memcached等专业缓存中间件，重启数据不丢失
  • 分布式会话 —— 提供jwt集成、共享数据中心两种分布式会话方案
  • 微服务网关鉴权 —— 适配Gateway、ShenYu、Zuul等常见网关的路由拦截认证
  • 单点登录 —— 内置三种单点登录模式：无论是否跨域、是否共享Redis，都可以搞定
  • OAuth2.0认证 —— 轻松搭建 OAuth2.0 服务，支持openid模式
  • 二级认证 —— 在已登录的基础上再次认证，保证安全性
  • Basic认证 —— 一行代码接入 Http Basic 认证
  • 独立Redis —— 将权限缓存与业务缓存分离
  • 临时Token认证 —— 解决短时间的Token授权问题
  • 模拟他人账号 —— 实时操作任意用户状态数据
  • 临时身份切换 —— 将会话身份临时切换为其它账号
  • 前后台分离 —— APP、小程序等不支持Cookie的终端
  • 同端互斥登录 —— 像QQ一样手机电脑同时在线，但是两个手机上互斥登录
  • 多账号认证体系 —— 比如一个商城项目的user表和admin表分开鉴权
  • Token风格定制 —— 内置六种Token风格，还可：自定义Token生成策略、自定义Token前缀
  • 注解式鉴权 —— 优雅的将鉴权与业务代码分离
  • 路由拦截式鉴权 —— 根据路由拦截鉴权，可适配restful模式
  • 自动续签 —— 提供两种Token过期策略，灵活搭配使用，还可自动续签
  • 会话治理 —— 提供方便灵活的会话查询接口
  • 记住我模式 —— 适配[记住我]模式，重启浏览器免验证
  • 密码加密 —— 提供密码加密模块，可快速MD5、SHA1、SHA256、AES、RSA加密
  • 全局侦听器 —— 在用户登陆、注销、被踢下线等关键性操作时进行一些AOP操作
  • 开箱即用 —— 提供SpringMVC、WebFlux等常见web框架starter集成包，真正的开箱即用

功能结构图

环境集成

官网给出了SpringBoot、WebFlux集成方式，我们这里采用SpringBoot方式

  1. 创建项目
    由于我们这里有现成的项目，如果没有的朋友，可以参考SpringBoot-Pure创建项目
  2. 添加依赖
    1
    2
    3
    4
    5
    <dependency>
        <groupId>cn.dev33</groupId>
        <artifactId>sa-token-spring-boot-starter</artifactId>
        <version>1.33.0</version>
    </dependency>
    Maven依赖拉取失败参考以下步骤
  • 项目重启
  • IDEA项目右键 -> Maven -> Reload Project
  • 网络不稳定导致，删除未下载完成jar包，重新下载，目录：C:\Users\你的电脑用户名\.m2\repository\cn\dev33
  • 可能你给你的 Maven 配置了阿里云镜像，而部分 jar 包无法通过阿里云镜像加载成功
    打开你的 Maven setting.xml 文件，看看有没有以下配置：
1
2
3
4
5
6
7
<mirror>
    <id>nexus-aliyun</id>
    <mirrorOf>central</mirrorOf>
    <name>Nexus aliyun</name>
    <url>http://maven.aliyun.com/nexus/content/groups/public</url>
</mirror>

如果有的话，先把它注释掉（注释掉就直连 Maven 中央仓库了），或者修改为其它的镜像，例如腾讯云的：

1
2
3
4
5
6
<mirror>
    <id>tencent</id>
    <name>tencent maven</name>
    <url>http://mirrors.cloud.tencent.com/nexus/repository/maven-public/</url>
    <mirrorOf>central</mirrorOf>
</mirror>

然后重启你的代码编辑器，重新构建项目，我是第四种情况，按照操作成功了。

  1. 配置文件
    也可以零配置直接启动，不过还是建议配置，个性化定制
    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12
    13
    14
    15
    16
    17
    18
    19
    20
    server:
        # 端口
        port: 8081

    ############## Sa-Token 配置 (文档: https://sa-token.cc) ##############
    sa-token:
        # token名称 (同时也是cookie名称)
        token-name: satoken
        # token有效期，单位s 默认30天, -1代表永不过期
        timeout: 2592000
        # token临时有效期 (指定时间内无操作就视为token过期) 单位: 秒
        activity-timeout: -1
        # 是否允许同一账号并发登录 (为true时允许一起登录, 为false时新登录挤掉旧登录)
        is-concurrent: true
        # 在多人登录同一账号时，是否共用一个token (为true时所有登录共用一个token, 为false时每次登录新建一个token)
        is-share: true
        # token风格
        token-style: uuid
        # 是否输出操作日志
        is-log: false
    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12
    13
    14
    15
    16
    17
    18
    19
    # 端口
    server.port=8081

    ############## Sa-Token 配置 (文档: https://sa-token.cc) ##############

    # token名称 (同时也是cookie名称)
    sa-token.token-name=satoken
    # token有效期，单位s 默认30天, -1代表永不过期
    sa-token.timeout=2592000
    # token临时有效期 (指定时间内无操作就视为token过期) 单位: 秒
    sa-token.activity-timeout=-1
    # 是否允许同一账号并发登录 (为true时允许一起登录, 为false时新登录挤掉旧登录)
    sa-token.is-concurrent=true
    # 在多人登录同一账号时，是否共用一个token (为true时所有登录共用一个token, 为false时每次登录新建一个token)
    sa-token.is-share=true
    # token风格
    sa-token.token-style=uuid
    # 是否输出操作日志
    sa-token.is-log=false
  2. 启动类
    在项目com.mx.auth包中创建，SaTokenDemoApplication.java，复制以下代码：
    1
    2
    3
    4
    5
    6
    7
    @SpringBootApplication
    public class SaTokenDemoApplication {
        public static void main(String[] args) throws JsonProcessingException {
            SpringApplication.run(SaTokenDemoApplication.class, args);
            System.out.println("启动成功：Sa-Token配置如下：" + SaManager.getConfig());
        }
    }
  3. 创建测试Controller
    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12
    13
    14
    15
    16
    17
    18
    19
    20
    @RestController
    @RequestMapping("/user/")
    public class UserController {

        // 测试登录，浏览器访问： http://localhost:8080/user/doLogin?username=manxin&password=123456
        @RequestMapping("doLogin")
        public String doLogin(String username, String password) {
            // 此处仅作模拟示例，真实项目需要从数据库中查询数据进行比对
            if("manxin".equals(username) && "123456".equals(password)) {
                StpUtil.login(10001);
                return "登录成功";
            }
            return "登录失败";
        }
        // 查询登录状态，浏览器访问： http://localhost:8080/user/isLogin
        @RequestMapping("isLogin")
        public String isLogin() {
            return "当前会话是否登录：" + StpUtil.isLogin();
        }
    }
  4. 验证

访问controller中两个接口，验证

验证通过后，就可以正常返回数据了，大家也去试试吧

总结

轻量级的权限应用场景其实也蛮多，选择合适的才是最重要的，如果对源码有兴趣的也可以看看

Gitee
Github
官方文档