Sa-Token权限认证框架：让Java鉴权变得简单优雅

荣铖澜Ward

于 2025-06-02 09:02:49 发布

阅读量228

点赞数 3

CC 4.0 BY-SA版权

本文链接：https://blog.youkuaiyun.com/gitblog_00381/article/details/148375158

Sa-Token权限认证框架：让Java鉴权变得简单优雅

Sa-Token 一个轻量级 Java 权限认证框架，让鉴权变得简单、优雅！—— 登录认证、权限认证、分布式Session会话、微服务网关鉴权、单点登录、OAuth2.0 项目地址: https://gitcode.com/gh_mirrors/sa/Sa-Token

什么是Sa-Token？

Sa-Token是一款轻量级的Java权限认证框架，专为解决现代应用开发中的各类权限问题而设计。它提供了一套简洁优雅的API，帮助开发者快速实现登录认证、权限控制、单点登录等常见功能。

为什么选择Sa-Token？

在Java生态中，虽然已有Shiro、Spring Security等成熟的权限框架，但它们往往配置复杂、学习曲线陡峭。Sa-Token的出现正是为了解决这些问题：

极简API设计：大多数功能只需一行代码即可实现
零配置启动：无需复杂配置，开箱即用
功能全面：覆盖了权限认证的各类场景需求
灵活扩展：支持多种存储方式和定制需求

核心功能解析

1. 登录认证

Sa-Token提供了极其简单的登录API：

// 登录
StpUtil.login(10001);

// 检查登录状态
StpUtil.checkLogin();

支持多种登录场景：

单端登录
多端登录
同端互斥登录
七天免登录

2. 权限控制

Sa-Token支持细粒度的权限控制：

// 注解式权限控制
@SaCheckPermission("user:add")
public String addUser(User user) {
    // 业务代码
}

// 路由拦截式权限控制
registry.addInterceptor(new SaInterceptor(handler -> {
    SaRouter.match("/user/**", r -> StpUtil.checkPermission("user"));
    SaRouter.match("/admin/**", r -> StpUtil.checkPermission("admin"));
})).addPathPatterns("/**");

3. 会话管理

Sa-Token提供了完整的会话管理能力：

// 获取当前会话
StpUtil.getSession();

// 踢人下线
StpUtil.kickout(10001);

// 会话查询
List<String> sessionIdList = StpUtil.searchSessionId("user:*", 0, 10);

4. 高级特性

Sa-Token还提供了许多高级功能：

二级认证：敏感操作前的再次验证
临时身份切换：临时以其他身份操作系统
账号封禁：灵活的封禁策略
密码加密：内置多种加密算法
单点登录：支持多种SSO场景
OAuth2.0：轻松搭建认证服务

技术架构

Sa-Token采用模块化设计，核心功能与扩展功能分离：

Sa-Token功能架构图

主要模块包括：

核心认证模块
权限控制模块
会话管理模块
单点登录模块
OAuth2.0模块
微服务鉴权模块

集成与扩展

Sa-Token支持与主流技术栈无缝集成：

Spring Boot/Spring MVC
WebFlux
Solon
多种网关(Gateway, ShenYu, Zuul)
多种RPC框架(Dubbo, gRPC)

存储层支持：

默认内存存储
Redis集成
自定义存储实现

最佳实践

1. 多账号体系处理

对于需要同时管理用户和管理员账号的系统：

// 用户登录认证
StpUserUtil.login(10001);

// 管理员登录认证
StpAdminUtil.login(1);

// 各自独立的权限控制
@SaCheckPermission(type = "user", value = "user:add")
public String userAdd() {...}

@SaCheckPermission(type = "admin", value = "admin:add")
public String adminAdd() {...}

2. 微服务鉴权

在微服务架构中，Sa-Token可以与网关配合实现统一鉴权：

// 网关鉴权配置
registry.addInterceptor(new SaInterceptor(handler -> {
    // 路由鉴权
    SaRouter.match("/app/**", r -> StpUtil.checkLogin());
    
    // RPC调用鉴权
    SaRouter.match("/rpc/**", r -> StpUtil.checkRpcToken());
})).addPathPatterns("/**");

3. 安全增强

对于安全性要求高的场景：

// 开启二级认证
@SaCheckSafe("user:delete")
public String deleteUser(long userId) {
    // 业务代码
}

// 参数签名校验
@SaCheckSign
public String updateInfo(User user) {
    // 业务代码
}