Sa-Token比spring security好用一百倍

最新推荐文章于 2025-06-10 08:58:42 发布

原创最新推荐文章于 2025-06-10 08:58:42 发布 · 4.6k 阅读

31 ·

CC 4.0 BY-SA版权

文章标签：

#spring #java #后端

SA-Token 是一个轻量级的 Java 权限认证框架，旨在解决 Java Web 应用程序中的权限控制和身份验证问题。以下是 SA-Token 的详细作用介绍：

1. 身份验证

SA-Token 提供了一套简单而有效的身份验证机制，用于验证用户的登录状态。通过 Token 机制，SA-Token 可以实现用户身份的唯一标识和持久化，确保用户在访问系统资源时的合法性。

2. 权限管理

SA-Token 允许对系统中的不同资源设置权限控制。通过定义角色和权限，开发者可以轻松地控制哪些用户可以访问哪些资源。权限检查可以通过注解方式实现，简洁明了。

3. Session 管理

SA-Token 提供了强大的 Session 管理功能，可以管理用户的会话信息。每个用户的会话信息都可以独立存储和访问，支持在线用户查询、踢出用户、设置会话过期时间等功能。

4. 分布式认证

SA-Token 支持分布式系统的认证需求，可以在多节点部署环境下共享用户的认证状态。通过配置一致性存储（如 Redis），SA-Token 可以实现跨服务的 Token 验证和 Session 共享。

5. 注解支持

SA-Token 提供了一套丰富的注解，用于简化权限控制的代码实现。常用注解包括 @SaCheckLogin、@SaCheckRole、@SaCheckPermission 等，可以直接在方法上标注，实现对方法调用的权限检查。

6. 多登录体系支持

SA-Token 支持多种登录模式，可以针对不同的登录场景（如管理员、普通用户等）使用不同的 Token 认证方式。每种登录模式下的 Token 和 Session 可以独立管理，不会相互干扰。

7. 安全防护

SA-Token 内置了一些安全防护机制，如防止 Token 重放攻击、XSS 攻击、CSRF 攻击等。通过配置和编码规范，开发者可以有效提高系统的安全性。

8. 扩展性强

SA-Token 设计灵活，易于扩展。开发者可以根据项目需求自定义 Token 的生成和验证方式、Session 的存储方式等，以满足不同场景的需求。

9. 支持多种客户端

SA-Token 支持多种客户端环境，包括 Web、移动端、小程序等。通过统一的认证机制，不同终端的用户都可以享受一致的权限控制体验。

总结

SA-Token 是一个功能强大且灵活的权限认证框架，适用于各种 Java Web 应用程序。它简化了身份验证和权限管理的复杂性，为开发者提供了一套易于使用且安全可靠的解决方案。通过使用 SA-Token，开发者可以专注于业务逻辑的实现，而无需担心复杂的权限控制问题。

Sa-Token 功能一览

Sa-Token 目前主要五大功能模块：登录认证、权限认证、单点登录、OAuth2.0、微服务鉴权。

登录认证 —— 单端登录、多端登录、同端互斥登录、七天内免登录。
权限认证 —— 权限认证、角色认证、会话二级认证。
踢人下线 —— 根据账号id踢人下线、根据Token值踢人下线。
注解式鉴权 —— 优雅的将鉴权与业务代码分离。
路由拦截式鉴权 —— 根据路由拦截鉴权，可适配 restful 模式。
Session会话 —— 全端共享Session,单端独享Session,自定义Session,方便的存取值。
持久层扩展 —— 可集成 Redis，重启数据不丢失。
前后台分离 —— APP、小程序等不支持 Cookie 的终端也可以轻松鉴权。
Token风格定制 —— 内置六种 Token 风格，还可：自定义 Token 生成策略。
记住我模式 —— 适配 [记住我] 模式，重启浏览器免验证。
二级认证 —— 在已登录的基础上再次认证，保证安全性。
模拟他人账号 —— 实时操作任意用户状态数据。
临时身份切换 —— 将会话身份临时切换为其它账号。
同端互斥登录 —— 像QQ一样手机电脑同时在线，但是两个手机上互斥登录。
账号封禁 —— 登录封禁、按照业务分类封禁、按照处罚阶梯封禁。
密码加密 —— 提供基础加密算法，可快速 MD5、SHA1、SHA256、AES 加密。
会话查询 —— 提供方便灵活的会话查询接口。
Http Basic认证 —— 一行代码接入 Http Basic、Digest 认证。
全局侦听器 —— 在用户登陆、注销、被踢下线等关键性操作时进行一些AOP操作。
全局过滤器 —— 方便的处理跨域，全局设置安全响应头等操作。
多账号体系认证 —— 一个系统多套账号分开鉴权（比如商城的 User 表和 Admin 表）
单点登录 —— 内置三种单点登录模式：同域、跨域、同Redis、跨Redis、前后端分离等架构都可以搞定。
单点注销 —— 任意子系统内发起注销，即可全端下线。
OAuth2.0认证 —— 轻松搭建 OAuth2.0 服务，支持openid模式。
分布式会话 —— 提供共享数据中心分布式会话方案。
微服务网关鉴权 —— 适配Gateway、ShenYu、Zuul等常见网关的路由拦截认证。
RPC调用鉴权 —— 网关转发鉴权，RPC调用鉴权，让服务调用不再裸奔
临时Token认证 —— 解决短时间的 Token 授权问题。
独立Redis —— 将权限缓存与业务缓存分离。
Quick快速登录认证 —— 为项目零代码注入一个登录页面。
标签方言 —— 提供 Thymeleaf 标签方言集成包，提供 beetl 集成示例。
jwt集成 —— 提供三种模式的 jwt 集成方案，提供 token 扩展参数能力。
RPC调用状态传递 —— 提供 dubbo、grpc 等集成包，在RPC调用时登录状态不丢失。
参数签名 —— 提供跨系统API调用签名校验模块，防参数篡改，防请求重放。
自动续签 —— 提供两种Token过期策略，灵活搭配使用，还可自动续签。
开箱即用 —— 提供SpringMVC、WebFlux、Solon 等常见框架集成包，开箱即用。
最新技术栈 —— 适配最新技术栈：支持 SpringBoot 3.x，jdk 17。

功能结构图:

本篇带你从零开始集成 Sa-Token，从而快速熟悉框架的使用姿势

1、创建项目

在 IDE 中新建一个 SpringBoot 项目，例如：sa-token-demo-springboot（不会的同学请自行百度或者参考：SpringBoot-Pure）

2、添加依赖

在项目中添加依赖：

注：如果你使用的是 SpringBoot 3.x，只需要将 sa-token-spring-boot-starter 修改为 sa-token-spring-boot3-starter 即可。

<!-- Sa-Token 权限认证，在线文档：https://sa-token.cc -->
<dependency>
    <groupId>cn.dev33</groupId>
    <artifactId>sa-token-spring-boot-starter</artifactId>
    <version>1.38.0</version>
</dependency>

Maven依赖一直无法加载成功？参考解决方案

更多内测版本了解：Sa-Token最新版本

3、设置配置文件

你可以零配置启动项目 ，但同时你也可以在 application.yml 中增加如下配置，定制性使用框架：

server:
    # 端口
    port: 8081
    
############## Sa-Token 配置 (文档: https://sa-token.cc) ##############
sa-token: 
    # token 名称（同时也是 cookie 名称）
    token-name: satoken
    # token 有效期（单位：秒） 默认30天，-1 代表永久有效
    timeout: 2592000
    # token 最低活跃频率（单位：秒），如果 token 超过此时间没有访问系统就会被冻结，默认-1 代表不限制，永不冻结
    active-timeout: -1
    # 是否允许同一账号多地同时登录 （为 true 时允许一起登录, 为 false 时新登录挤掉旧登录）
    is-concurrent: true
    # 在多人登录同一账号时，是否共用一个 token （为 true 时所有登录共用一个 token, 为 false 时每次登录新建一个 token）
    is-share: true
    # token 风格（默认可取值：uuid、simple-uuid、random-32、random-64、random-128、tik）
    token-style: uuid
    # 是否输出操作日志 
    is-log: true

4、创建启动类

在项目中新建包 com.pj ，在此包内新建主类 SaTokenDemoApplication.java，复制以下代码：

@SpringBootApplication
public class SaTokenDemoApplication {
    public static void main(String[] args) throws JsonProcessingException {
        SpringApplication.run(SaTokenDemoApplication.class, args);
        System.out.println("启动成功，Sa-Token 配置如下：" + SaManager.getConfig());
    }
}

5、创建测试Controller

@RestController
@RequestMapping("/user/")
public class UserController {

    // 测试登录，浏览器访问： http://localhost:8081/user/doLogin?username=zhang&password=123456
    @RequestMapping("doLogin")
    public String doLogin(String username, String password) {
        // 此处仅作模拟示例，真实项目需要从数据库中查询数据进行比对 
        if("zhang".equals(username) && "123456".equals(password)) {
            StpUtil.login(10001);
            return "登录成功";
        }
        return "登录失败";
    }

    // 查询登录状态，浏览器访问： http://localhost:8081/user/isLogin
    @RequestMapping("isLogin")
    public String isLogin() {
        return "当前会话是否登录：" + StpUtil.isLogin();
    }
    
}