1. 为什么选择Sa-Token做鉴权第一次接触Sa-Token是在去年重构公司内部管理系统时。当时系统用的是Spring Security配置复杂不说光是理解那些过滤器链就够头疼的。后来在GitHub上发现了这个国产框架用下来最大的感受就是——简单到不像个权限框架。Sa-Token的核心优势在于它的设计哲学用最少的配置完成最常见的权限控制需求。比如实现一个基础的登录功能传统框架可能需要写一堆配置类和过滤器而Sa-Token只需要三行代码// 登录 StpUtil.login(10001); // 检查是否登录 StpUtil.isLogin(); // 注销 StpUtil.logout();这种极简API设计背后是作者对Java权限场景的深刻理解。Sa-Token把日常开发中90%的鉴权场景都抽象成了直接可用的方法剩下的10%特殊需求也提供了灵活的扩展点。2. 环境准备与基础配置2.1 项目初始化建议使用Spring Boot 2.7.x JDK8/11的组合这是目前企业级项目最稳定的技术栈。在pom.xml中添加依赖dependency groupIdcn.dev33/groupId artifactIdsa-token-spring-boot-starter/artifactId version1.45.0/version /dependency注意如果项目是非Spring Boot环境需要额外引入sa-token-core和适配器模块。但实测发现Spring Boot集成度最高推荐优先使用。2.2 基础配置项在application.yml中配置最简参数sa-token: token-name: satoken # 前端存储的token名称 timeout: 86400 # token有效期(秒) is-concurrent: true # 是否允许并发登录 is-share: true # 在多人登录同一账号时是否共享会话这几个配置已经能满足大部分场景。我特别推荐开启is-concurrent这样同一个账号在不同设备登录时不会互相踢出对移动端应用非常友好。3. 登录鉴权实战3.1 实现登录接口一个完整的登录流程应该包含以下要素PostMapping(/login) public Result login(RequestBody LoginDto dto) { // 1. 验证验证码如有 // 2. 查询用户信息 User user userService.findByUsername(dto.username); if(user null || !user.getPassword().equals(dto.password)) { throw new ApiException(账号或密码错误); } // 3. 登录并返回token StpUtil.login(user.getId()); return Result.success(StpUtil.getTokenInfo()); }这里有个实战技巧StpUtil.login()默认会把token写入Cookie如果要做前后端分离项目需要在配置中关闭Cookie模式sa-token: is-read-cookie: false3.2 接口鉴权方案Sa-Token提供三种粒度的鉴权方式注解鉴权最推荐的方式SaCheckLogin GetMapping(/userinfo) public Result getUserInfo() { // 只有登录后才能进入该方法 }路由拦截适合批量配置Configuration public class SaTokenConfig implements WebMvcConfigurer { Override public void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(new SaInterceptor()) .addPathPatterns(/admin/**) .excludePathPatterns(/admin/login); } }手动鉴权最灵活的方式public Result sensitiveOperation() { if(!StpUtil.isLogin()) { throw new ApiException(请先登录); } // 业务逻辑... }4. 权限控制系统设计4.1 RBAC模型实现Sa-Token内置了基于角色的权限控制(RBAC)我们需要先建立几个关键表-- 用户表 CREATE TABLE sys_user ( id BIGINT PRIMARY KEY, username VARCHAR(50) UNIQUE ); -- 角色表 CREATE TABLE sys_role ( id BIGINT PRIMARY KEY, role_name VARCHAR(50) UNIQUE ); -- 权限表 CREATE TABLE sys_permission ( id BIGINT PRIMARY KEY, perm_name VARCHAR(100) UNIQUE ); -- 用户-角色关联表 CREATE TABLE sys_user_role ( user_id BIGINT, role_id BIGINT ); -- 角色-权限关联表 CREATE TABLE sys_role_perm ( role_id BIGINT, perm_id BIGINT );然后在登录时绑定权限// 登录后绑定角色和权限 ListString roleList roleService.getRolesByUserId(userId); ListString permList permService.getPermsByUserId(userId); StpUtil.getSession().set(role, roleList); StpUtil.getSession().set(permission, permList);4.2 权限校验实战校验角色SaCheckRole(admin) // 必须具有admin角色 GetMapping(/admin/dashboard) public Result adminDashboard() { // ... }校验权限SaCheckPermission(user:delete) // 必须具有user:delete权限 DeleteMapping(/user/{id}) public Result deleteUser(PathVariable Long id) { // ... }复杂逻辑校验// 自定义验证逻辑 SaCheckSafe(article, edit) PutMapping(/article/{id}) public Result updateArticle(PathVariable Long id) { // 需要验证当前用户是否有编辑该文章的权限 }5. 常见问题解决方案5.1 会话冲突问题当同一个账号在多个设备登录时可能会遇到会话覆盖问题。解决方案是在配置中开启会话独立sa-token: is-share: false # 关闭会话共享 is-concurrent: true # 允许并发登录5.2 权限缓存更新修改用户权限后如何立即生效可以调用// 强制指定用户重新登录 StpUtil.logout(userId); // 或者只清除权限缓存 StpUtil.getSessionByLoginId(userId).delete(permission);5.3 分布式环境适配在微服务架构下需要额外配置Redissa-token: is-share: true token-prefix: satoken: # Redis配置 redis: host: 127.0.0.1 port: 6379 database: 06. 进阶功能探索6.1 踢人下线功能// 踢出指定用户 StpUtil.kickout(userId); // 踢出除当前设备外的所有登录 StpUtil.kickoutOther(StpUtil.getLoginId()); // 查询所有登录设备 ListSaSession sessions StpUtil.searchSession(pageSize, pageNum);6.2 二级认证对于敏感操作可以增加二次验证// 开启二级认证有效期300秒 StpUtil.openSafe(delete, 300); // 校验二级认证 SaCheckSafe(delete) DeleteMapping(/important-data) public Result deleteData() { // ... }6.3 临时令牌生成有时效性的临时token// 生成5分钟有效的临时token String tempToken StpUtil.createTempToken(300); // 验证临时token StpUtil.checkTempToken(tempToken);7. 性能优化建议会话存储优化默认会话存储在内存中大用户量时建议切换为Redis模式权限缓存策略频繁变动的权限可以设置较短的缓存时间Token生成算法默认使用UUID高并发场景可以切换为更高效的算法日志级别控制生产环境建议关闭DEBUG日志sa-token: jwt-secret-key: your-secret-key # 使用JWT模式 log-level: info # 生产环境日志级别8. 安全防护措施防token盗用开启token前缀校验sa-token: token-prefix: satoken:防CSRF攻击启用内置的CSRF防护SaCheckSafe(csrf) PostMapping(/update) public Result update() { // ... }防重放攻击为敏感接口添加nonce校验SaCheckNonce PostMapping(/transfer) public Result transfer() { // ... }9. 实际项目中的经验在电商项目中我们遇到了几个典型场景的解决方案多端登录APP、PC、小程序需要不同的token有效期// APP端登录30天有效 StpUtil.login(10001, APP); // PC端登录7天有效 StpUtil.login(10001, PC);权限动态加载根据用户所属部门加载不同权限集ListString perms permService.getPerms(userId, deptId); StpUtil.getSession().set(permission, perms);接口频控限制敏感接口调用频率SaCheckLimit(value5, time60) // 60秒内最多5次 GetMapping(/sms-code) public Result getSmsCode() { // ... }
