0
0

Sa-token简单介绍和基本使用

Sa-Token

官方文档 官方文档写的很好，推荐去参考

1.概述

1.1 Sa-Token介绍

Sa-Token 是一个轻量级 Java 权限认证框架，主要解决：**

登录认证

、

权限认证

、

Session会话

、

单点登录

、

OAuth2.0

、

微服务网关鉴权

** 等一系列权限相关问题。

功能简单示例

Sa-Token 的 API 设计非常简单，有多简单呢？以登录认证为例，你只需要：

// 在登录时写入当前会话的账号idStpUtil.login(10001);// 然后在需要校验登录处调用以下方法：// 如果当前会话未登录，这句代码会抛出 `NotLoginException` 异常StpUtil.checkLogin();

权限认证示例（只有具备 

user:add

权限的会话才可以进入请求）

@SaCheckPermission("user:add")@RequestMapping("/user/insert")publicStringinsert(SysUser user){// ... return"用户增加";}

将某个账号踢下线（待到对方再次访问系统时会抛出

NotLoginException

异常）

// 将账号id为 10001 的会话踢下线 StpUtil.kickout(10001);

其他功能

StpUtil.login(10001);// 标记当前会话登录的账号idStpUtil.getLoginId();// 获取当前会话登录的账号idStpUtil.isLogin();// 获取当前会话是否已经登录, 返回true或falseStpUtil.logout();// 当前会话注销登录StpUtil.kickout(10001);// 将账号为10001的会话踢下线StpUtil.hasRole("super-admin");// 查询当前账号是否含有指定角色标识, 返回true或falseStpUtil.hasPermission("user:add");// 查询当前账号是否含有指定权限, 返回true或falseStpUtil.getSession();// 获取当前账号id的SessionStpUtil.getSessionByLoginId(10001);// 获取账号id为10001的SessionStpUtil.getTokenValueByLoginId(10001);// 获取账号id为10001的token令牌值StpUtil.login(10001,"PC");// 指定设备标识登录，常用于“同端互斥登录”StpUtil.kickout(10001,"PC");// 指定账号指定设备标识踢下线 (不同端不受影响)StpUtil.openSafe(120);// 在当前会话开启二级认证，有效期为120秒 StpUtil.checkSafe();// 校验当前会话是否处于二级认证有效期内，校验失败会抛出异常 StpUtil.switchTo(10044);// 将当前会话身份临时切换为其它账号

1.2 Sa-Token 功能一览

  • 登录认证 —— 单端登录、多端登录、同端互斥登录、七天内免登录
  • 权限认证 —— 权限认证、角色认证、会话二级认证
  • Session会话 —— 全端共享Session、单端独享Session、自定义Session
  • 踢人下线 —— 根据账号id踢人下线、根据Token值踢人下线
  • 账号封禁 —— 指定天数封禁、永久封禁、设定解封时间
  • 持久层扩展 —— 可集成Redis、Memcached等专业缓存中间件，重启数据不丢失
  • 分布式会话 —— 提供jwt集成、共享数据中心两种分布式会话方案
  • 微服务网关鉴权 —— 适配Gateway、ShenYu、Zuul等常见网关的路由拦截认证
  • 单点登录 —— 内置三种单点登录模式：无论是否跨域、是否共享Redis，都可以搞定
  • OAuth2.0认证 —— 基于RFC-6749标准编写，OAuth2.0标准流程的授权认证，支持openid模式
  • 二级认证 —— 在已登录的基础上再次认证，保证安全性
  • Basic认证 —— 一行代码接入 Http Basic 认证
  • 独立Redis —— 将权限缓存与业务缓存分离
  • 临时Token验证 —— 解决短时间的Token授权问题
  • 模拟他人账号 —— 实时操作任意用户状态数据
  • 临时身份切换 —— 将会话身份临时切换为其它账号
  • 前后台分离 —— APP、小程序等不支持Cookie的终端
  • 同端互斥登录 —— 像QQ一样手机电脑同时在线，但是两个手机上互斥登录
  • 多账号认证体系 —— 比如一个商城项目的user表和admin表分开鉴权
  • 花式token生成 —— 内置六种Token风格，还可：自定义Token生成策略、自定义Token前缀
  • 注解式鉴权 —— 优雅的将鉴权与业务代码分离
  • 路由拦截式鉴权 —— 根据路由拦截鉴权，可适配restful模式
  • 自动续签 —— 提供两种Token过期策略，灵活搭配使用，还可自动续签
  • 会话治理 —— 提供方便灵活的会话查询接口
  • 记住我模式 —— 适配[记住我]模式，重启浏览器免验证
  • 密码加密 —— 提供密码加密模块，可快速MD5、SHA1、SHA256、AES、RSA加密
  • 全局侦听器 —— 在用户登陆、注销、被踢下线等关键性操作时进行一些AOP操作
  • 开箱即用 —— 提供SpringMVC、WebFlux等常见web框架starter集成包，真正的开箱即用
  • 更多功能正在集成中… —— 如有您有好想法或者建议，欢迎加群交流

2. 使用

2.1 导入依赖

<dependency><groupId>cn.dev33</groupId><artifactId>sa-token-spring-boot-starter</artifactId><version>1.28.0</version></dependency>

2.2 springBoot的简单集成

2.2.1 配置文件

server:port:8001# Sa-Token配置sa-token:# token名称 (同时也是cookie名称)token-name: xc_satoken
  # token有效期，单位s 默认30天, -1代表永不过期timeout:2592000# token临时有效期 (指定时间内无操作就视为token过期) 单位: 秒activity-timeout:-1# 是否允许同一账号并发登录 (为true时允许一起登录, 为false时新登录挤掉旧登录)is-concurrent:true# 在多人登录同一账号时，是否共用一个token (为true时所有登录共用一个token, 为false时每次登录新建一个token)is-share:false# token风格token-style: uuid
  # 是否输出操作日志is-log:false

2.2.2 controller

packagecom.xc.satoken.controller;importcn.dev33.satoken.stp.StpUtil;importorg.springframework.web.bind.annotation.GetMapping;importorg.springframework.web.bind.annotation.PostMapping;importorg.springframework.web.bind.annotation.RequestMapping;importorg.springframework.web.bind.annotation.RestController;@RestController@RequestMapping("/test")publicclassTestController{@PostMapping("/login")publicStringlogin(String username,String password){//模拟登录校验if("xx".equals(username)&&"123456".equals(password)){StpUtil.login(1001);return"登陆成功";}return"登陆失败";}@GetMapping("/islogin")publicStringtest(){return"当前会话是否登录："+StpUtil.isLogin();}}

2.2.3 简单登录页面

<!DOCTYPEhtml><htmllang="en"xmlns:th="http://www.thymeleaf.org"><head><metacharset="UTF-8"><title>登录</title></head><body><formaction="/test/login"method="post">
        用户名:<inputtype="text"name="username"><br>
        密码：<inputtype="password"name="password"><br><inputtype="checkbox"name="rememberMe">记住我<br><inputtype="submit"></form></body></html>

2.3 功能详解

2.3.1 登录认证

sa-token-rz

那么如何判断一个会话是否登录？

框架会在登录成功后给你做个标记，每次登录认证时校验这个标记，有标记者视为已登录，无标记者视为未登录！

2.3.1.1 登录与注销
// 标记当前会话登录的账号id // 建议的参数类型：long | int | String， 不可以传入复杂类型，如：User、Admin等等StpUtil.login(Object id);// 当前会话注销登录StpUtil.logout();// 获取当前会话是否已经登录，返回true=已登录，false=未登录StpUtil.isLogin();// 检验当前会话是否已经登录, 如果未登录，则抛出异常：`NotLoginException`StpUtil.checkLogin()
NotLoginException

场景值对应常量含义说明-1NotLoginException.NOT_TOKEN未能从请求中读取到token-2NotLoginException.INVALID_TOKEN已读取到token，但是token无效-3NotLoginException.TOKEN_TIMEOUT已读取到token，但是token已经过期-4NotLoginException.BE_REPLACED已读取到token，但是token已被顶下线-5NotLoginException.KICK_OUT已读取到token，但是token已被踢下线

登录分析****先校验账号和密码，成功在进行satoken的登陆操作

stpUtil.login(login(Object id)) id账号id

–》stpLogic.login(id);

–》（stpLogic）login(id, new SaLoginModel())

SaLoginModel()：登录的配置参数，device（客户端设备标识），isLastingCookie（是否为持久cookie，临时的浏览器关闭就消失），timeout（token有效期）

**（stpLogic）login(id, new SaLoginModel()) **
1. 检查传进来的id是否为空，为空抛异常
2. 检查该id是否被禁用-》先检查该id（xc_satoken(token名称):login:disable:1001（id））是否过期,过期就删除SaTokenDao持久层中的存储，如果在SaTokenDao持久层中的数据集合datamap中有该key说明被禁用，抛异常
3.初始化 loginModel ，从配置类中取值赋给SaLoginModel
4.生成token-》分三者情况①：允许并发登录同时是共享token的，从session中取 ②非并发的要先顶替就账号 ③其余情况并发非共享token，以及从session没取到token，非并发的情况生成token。 根据token的类型创建相应的token，默认uuid
5.获取当前用户的session（User-Session），如果当前session已过期。则删掉持久层中的session，否则取出持久层中的session，如果没有session则创建一个
6.为session续期，
    ①获取session剩余存活时间（判断是否过期，过期的话删除持久层中的session，没过期的话获取过期时间，计算过期时间与当前时间的差值求得剩余时间，小于0直接删除过期时间。返回-1（永不过期），-2（已过期），或者剩余时间）。
    ②如果剩余存活时间小于配置类设定的能存活时间，则更新持久层中的session的过期时间，当前时间+配置类设定的能存活时间
7.把token记录在session的tokenSignList中，已存在就不添加。更新持久层中的session（好像只是看有没有过期，过期就删掉，并没有更新）
8.存储token和id的映射关系（过期就不存储），存储在持久层的数据集和过期时间集，过期时间为当前时间+可存活时间
9.在当前会话中写入token，token为空不写入，写入当前请求的存储器（属性：当前请求request）中，把加前缀和不加前缀的token都写入存储器（即写入request的属性中）
10.把token写入cookie，如果支持从cookie中取token，则创建cookie给客户端，否则不操作
11.标记当前token的最后操作时间，（临时有效的token）
12.通知监听器登录成功
islogin 调用StpLogic.getLoginIdDefaultNull()
临时登录，从存储器里获取临时登录id
取出token，token为空返回null，从持久层的数据集中获取登录id，过期从持久层中删除
id为空，或在异常表中返回null
检查临时token是否过期，过期返回null
返回登录id
null表示未登录
checkLogin 调用StpLogic.getLoginId();

与islogin差不多，不过是checkLogin在返回null的地方直接抛异常了，同时临时过期的token判断是否自动续签。

2.3.2 权限认证

做权限认证之前要先实现

StpInterface

接口，来编写自己的权限集合

packagecom.xc.satoken.config;importcn.dev33.satoken.stp.StpInterface;importorg.springframework.beans.factory.annotation.Autowired;importorg.springframework.stereotype.Component;importjava.util.ArrayList;importjava.util.List;@ComponentpublicclassStpInterfaceImplimplementsStpInterface{@OverridepublicList<String>getPermissionList(Object loginId,String loginType){//真是场景区数据库查，这里就直接模拟        List<String> list = new ArrayList<>();        list.add("user*");//        list.add("user:update");//        list.add("user:delete");//        list.add("user:select");        return list;    }    @Override    public List<String> getRoleList(Object loginId, String loginType) {        List<String> list = new ArrayList<>();        list.add("a*");        list.add("user");        return list;    }}
2.3.2.1 Permission
// 判断：当前账号是否含有指定权限, 返回true或falseStpUtil.hasPermission("user-update");// 校验：当前账号是否含有指定权限, 如果验证未通过，则抛出异常: NotPermissionException StpUtil.checkPermission("user-update");// 校验：当前账号是否含有指定权限 [指定多个，必须全部验证通过]StpUtil.checkPermissionAnd("user-update","user-delete");// 校验：当前账号是否含有指定权限 [指定多个，只要其一验证通过即可]StpUtil.checkPermissionOr("user-update","user-delete");
2.3.2.2 role
// 判断：当前账号是否拥有指定角色, 返回true或falseStpUtil.hasRole("super-admin");// 校验：当前账号是否含有指定角色标识, 如果验证未通过，则抛出异常: NotRoleExceptionStpUtil.checkRole("super-admin");// 校验：当前账号是否含有指定角色标识 [指定多个，必须全部验证通过]StpUtil.checkRoleAnd("super-admin","shop-admin");// 校验：当前账号是否含有指定角色标识 [指定多个，只要其一验证通过即可] StpUtil.checkRoleOr("super-admin","shop-admin");
2.3.2.3 支持通配符
// 当拥有 user* 权限时StpUtil.hasPermission("user-add");        // trueStpUtil.hasPermission("user-update");     // trueStpUtil.hasPermission("art-add");         // false// 当拥有 *-delete 权限时StpUtil.hasPermission("user-add");        // falseStpUtil.hasPermission("user-delete");     // trueStpUtil.hasPermission("art-delete");      // true// 当拥有 *.js 权限时StpUtil.hasPermission("index.js");        // trueStpUtil.hasPermission("index.css");       // falseStpUtil.hasPermission("index.html");      // false
2.3.2.4 StpUtil.hasPermission(“user-update”);

-》stpLogic.hasPermission(permission);

-》（stpLogic）hasElement(getPermissionList(), permission)

getPermissionList()->getPermissionList(getLoginId()) //根据id获取权限

-》SaStrategy.me.hasElement.apply(list, element)

-》SaManager.getSaTokenAction().hasElement(list, element)

hasElement(List<String> list, String element)list为null -》falselist.contains(element) ->true模糊匹配 不带*直接equals，带*正则表达式比较
2.3.2.5 StpUtil.checkPermissionAnd(“user-update”, “user-delete”);

-》stpLogic.checkPermissionAnd(permissionArray)

-》checkPermissionAnd(String… permissionArray)

checkPermissionAnd(String... permissionArray)1.getLoginId()获取登录id2.getPermissionList(loginId) 获取该用户权限列表3.循环permissionArray 比较 hasElement(permissionList, permission) ，当有一个没有权限直接抛异常
2.3.2.6 StpUtil.checkPermissionOr(“user-update”, “user-delete”)

类似and只是在循环比较时有一个正确就返回

2.3.2.7 and和or的has调用check
2.3.2.8 role的类似Permission

2.3.3 注销与下线与封禁

2.3.3.2 强制注销
StpUtil.logout(10001);// 强制指定账号注销下线 StpUtil.logout(10001, "PC");              // 强制指定账号指定端注销下线 StpUtil.logoutByTokenValue("token");      // 强制指定 Token 注销下线
2.3.3.3 踢人下线
StpUtil.kickout(10001);// 将指定账号踢下线 StpUtil.kickout(10001, "PC");              // 将指定账号指定端踢下线StpUtil.kickoutByTokenValue("token");      // 将指定 Token 踢下线

强制注销 和 踢人下线 的区别在于：

  • 强制注销等价于对方主动调用了注销方法，再次访问会提示：Token无效。
  • 踢人下线不会清除Token信息，而是将其打上特定标记，再次访问会提示：Token已被踢下线。
2.3.3.4 账号封禁

对于违规账号，有时候我们仅仅将其踢下线还是远远不够的，我们还需要对其进行账号封禁防止其再次登录

// 封禁指定账号 // 参数一：账号id// 参数二：封禁时长，单位：秒  (86400秒=1天，此值为-1时，代表永久封禁)StpUtil.disable(10001, 86400); // 获取指定账号是否已被封禁 (true=已被封禁, false=未被封禁) StpUtil.isDisable(10001); // 获取指定账号剩余封禁时间，单位：秒StpUtil.getDisableTime(10001); // 解除封禁StpUtil.untieDisable(10001);

注意点

对于正在登录的账号，对其账号封禁时并不会使其立刻注销
如果需要将其封禁后立即掉线，可采取先踢再封禁的策略，例如：

// 先踢下线StpUtil.kickout(10001); // 再封禁账号StpUtil.disable(10001, 86400);
2.3.3.5 分析
StpUtil.logout(10001)

->stpLogic.logout(loginId)

->logout(loginId, null) logout(Object loginId, String device) null注销所有设备

logout(Object loginId, String device) clearTokenCommonMethod(Object loginId, String device, Consumer<String> appendFun, boolean isLogoutSession)①查询持久层是否有该session，过期删除，没有session此账号尚未登录，直接return②循环token签名列表TokenSignList，开始删除相关信息     a获取TokenSignList里的token    b清理掉[token-last-activity] -》删除[最后操作时间]，删除存储器的标记    c从token签名列表移除     d删除Token-Id映射 & 清除Token-Session        deleteTokenToIdMapping(tokenValue)   删除持久层的数据集dataMap和过期时间集合expireMap        deleteTokenSession(tokenValue)       删除token所属的session        SaManager.getSaTokenListener().doLogout(loginType, loginId, tokenValue) 通知监听器         账号注销成功③ 尝试注销session session.logoutByTokenSignCountToZero()    tokenSign数量为零时，注销会话 logout()-》从持久库删除session，通知监听器session注销成功
StpUtil.kickout(10001)

->stpLogic.kickout(loginId)

->kickout(loginId, null) kickout(Object loginId, String device)

kickout(Object loginId, String device)
clearTokenCommonMethod(Object loginId, String device, Consumer<String> appendFun, boolean isLogoutSession)
同logout，只是第②步的d不同
    将此 token 标记为已被踢下线 
    updateTokenToIdMapping(tokenValue, NotLoginException.KICK_OUT) 更改 Token 指向的 账号Id 值（-5）
    SaManager.getSaTokenListener().doKickout(loginType, loginId, tokenValue) 通知账号被踢下线
StpUtil.disable(10001, 86400)

-》stpLogic.disable(loginId, disableTime)

​ 1.标注为已被封禁 添加xc_satoken:login:disable:1001标记到持久层的数据集和过期集 getSaTokenDao().set(splicingKeyDisable(loginId), DisableLoginException.BE_VALUE, disableTime)

​ 2.通知监听器 账号[" + loginId + "]被封禁 (解封时间: " + SaFoxUtil.formatDate(date) + ")

2.3.4 注解式鉴权

注册拦截器

@ConfigurationpublicclassSaTokenConfigureimplementsWebMvcConfigurer{// 注册Sa-Token的注解拦截器，打开注解式鉴权功能 @OverridepublicvoidaddInterceptors(InterceptorRegistry registry){// 注册注解拦截器，并排除不需要注解鉴权的接口地址 (与登录拦截器无关)
        registry.addInterceptor(newSaAnnotationInterceptor()).addPathPatterns("/**");}}

// 登录认证：只有登录之后才能进入该方法 @SaCheckLogin@RequestMapping("info")publicStringinfo(){return"查询用户信息";}// 角色认证：必须具有指定角色才能进入该方法 @SaCheckRole("super-admin")@RequestMapping("add")publicStringadd(){return"用户增加";}// 权限认证：必须具有指定权限才能进入该方法 @SaCheckPermission("user-add")@RequestMapping("add")publicStringadd(){return"用户增加";}// 二级认证：必须二级认证之后才能进入该方法 @SaCheckSafe()@RequestMapping("add")publicStringadd(){return"用户增加";}// Http Basic 认证：只有通过 Basic 认证后才能进入该方法 @SaCheckBasic(account ="sa:123456")@RequestMapping("add")publicStringadd(){return"用户增加";}

注意

**使用拦截器模式，只能在

Controller层

进行注解鉴权**

分析

1.Method method = ((HandlerMethod)handler).getMethod(); 获取当前调用的方法

2.SaStrategy.me.checkMethodAnnotation.accept(method); 对该方法上的注解进行检查

Consumer<Method> checkMethodAnnotation
1.先校验 Method 所属 Class 上的注解    me.checkElementAnnotation.accept(method.getDeclaringClass());
2.再校验 Method 上的注解    me.checkElementAnnotation.accept(method);

上述两个方法共同调用了SaStrategy的Consumer<AnnotatedElement> checkElementAnnotation方法
-》SaManager.getSaTokenAction().validateAnnotation(element)
    validateAnnotation(AnnotatedElement target)
    ①比较该类或方法是否有@SaCheckLogin 注解 有的话调用StpLogic的checkLogin()方法-》getLoginId()
    ②判断是否有@SaCheckRole 注解  根据模式SaMode（AND,OR，默认为AND）判断调用checkRoleAnd(roleArray)还是checkPermissionOr(permissionArray)
    ③判断是否有@SaCheckPermission注解  根据模式SaMode（AND,OR，默认为AND）判断调用checkPermissionAnd(permissionArray)还是checkRoleOr(roleArray)。权限验证不通过，判断是否开启orRole()角色判断，开启判断，则进行角色校验hasRoleAnd(rArr)
    ④判断是否有@SaCheckSafe 注解  执行checkSafe-》调用StpLogic的 isSafe() == false抛异常
        isSafe()-》获取tokensession-》在tokensession中获取SAFE_AUTH_SAVE_KEY_的值，没有返回false，否则返回true
        tokenSession-》如果配置了需要校验登录状态（tokenSessionCheckLogin），则验证一下checkLogin()-》从持久层中获取tokensession，没有则创建一个，并存入持久层
    ⑤判断是否有@SaCheckBasic 注解 
    check(String realm, String account)-》saBasicTemplate.check(realm, account)：获取请求头中的authorization信息，与account对比，错误抛出异常

附录

简单测试 controller

packagecom.xc.satoken.controller;importcn.dev33.satoken.annotation.*;importcn.dev33.satoken.stp.StpUtil;importorg.springframework.web.bind.annotation.GetMapping;importorg.springframework.web.bind.annotation.PostMapping;importorg.springframework.web.bind.annotation.RequestMapping;importorg.springframework.web.bind.annotation.RestController;@RequestMapping("/user")@RestControllerpublicclassUserController{@PostMapping("/login")publicStringlogin(String username,String password){//模拟登录校验if("xx".equals(username)&&"123456".equals(password)){StpUtil.login(1001);return"登陆成功";}return"登陆失败";}@GetMapping("/isLogin")publicStringislogin(){return"当前会话是否登录："+StpUtil.isLogin();}@GetMapping("/checkLogin")publicStringcheckLogin(){StpUtil.checkLogin();return"已登录";}@GetMapping("/hasPerm")publicStringhasPermission(){StpUtil.checkPermission("user:select");return"true";//        else return "false";}@GetMapping("/checkPermAnd")publicStringhasPermissionAnd(){StpUtil.checkPermissionAnd("user:select","user:delete");return"true";}@GetMapping("/hasPermOr")publicStringhasPermissionOr(){if(StpUtil.hasPermissionOr("user:select","user:delete"))return"true";elsereturn"false";}@GetMapping("/hasRole")publicStringhasRole(){StpUtil.checkRole("user");return"true";}@GetMapping("/checkRoleAnd")publicStringhasRoleAnd(){StpUtil.checkRoleAnd("user","admin");return"true";}@GetMapping("/hasRoleOr")publicStringhasRoleOr(){if(StpUtil.hasRoleOr("user2","admin"))return"true";elsereturn"false";}@GetMapping("/logout")publicStringlogout(){StpUtil.logout(1001);return"success";}@GetMapping("/kickout")publicStringkickout(){StpUtil.kickout(1001);return"success";}@GetMapping("/disable")publicStringdisable(){StpUtil.disable(1001,86400);return"success";}// 登录认证：只有登录之后才能进入该方法@SaCheckLogin@RequestMapping("info")publicStringinfo(){return"查询用户信息";}// 角色认证：必须具有指定角色才能进入该方法@SaCheckRole("admin")@RequestMapping("add1")publicStringadd1(){return"用户增加";}// 权限认证：必须具有指定权限才能进入该方法@SaCheckPermission("user:add")@RequestMapping("add")publicStringadd(){return"用户增加";}// 二级认证：必须二级认证之后才能进入该方法@SaCheckSafe()@RequestMapping("add2")publicStringadd2(){return"用户增加";}// Http Basic 认证：只有通过 Basic 认证后才能进入该方法@SaCheckBasic(account ="xx:123456")@RequestMapping("add3")publicStringadd3(){return"用户增加";}// 注解式鉴权：只要具有其中一个权限即可通过校验@RequestMapping("atJurOr")@SaCheckPermission(value ={"user:add","user:all","user:delete"}, mode =SaMode.OR)publicStringatJurOr(){return"用户信息";}// 注解式鉴权：只要具有其中一个权限即可通过校验@RequestMapping("userAdd")@SaCheckPermission(value ="user:add", orRole ="admin")publicStringuserAdd(){return"用户信息";}}

异常处理

packagecom.xc.satoken.config;importcn.dev33.satoken.exception.DisableLoginException;importcn.dev33.satoken.exception.NotLoginException;importcn.dev33.satoken.exception.NotPermissionException;importcn.dev33.satoken.exception.NotRoleException;importcn.hutool.json.JSONObject;importorg.springframework.web.bind.annotation.ExceptionHandler;importorg.springframework.web.bind.annotation.ResponseBody;importorg.springframework.web.bind.annotation.RestControllerAdvice;importjavax.servlet.http.HttpServletRequest;importjavax.servlet.http.HttpServletResponse;@RestControllerAdvicepublicclassMyExceptionHandle{// 全局异常拦截（拦截项目中的NotLoginException异常）@ResponseBody@ExceptionHandler(Exception.class)publicStringhandlerException(Exception e,HttpServletRequest request,HttpServletResponse response)throwsException{// 打印堆栈，以供调试System.out.println("全局异常---------------");
            e.printStackTrace();// 不同异常返回不同状态码String aj =null;if(e instanceofNotLoginException){// 如果是未登录异常NotLoginException ee =(NotLoginException) e;
                aj = ee.getMessage();}elseif(e instanceofNotRoleException){// 如果是角色异常NotRoleException ee =(NotRoleException) e;
                aj =("无此角色："+ ee.getRole());}elseif(e instanceofNotPermissionException){// 如果是权限异常NotPermissionException ee =(NotPermissionException) e;
                aj =("无此权限："+ ee.getCode());}elseif(e instanceofDisableLoginException){// 如果是被封禁异常DisableLoginException ee =(DisableLoginException) e;
                aj =("账号被封禁："+ ee.getDisableTime()+"秒后解封");}else{// 普通异常, 输出：500 + 异常信息
                aj =(e.getMessage());}// 返回给前端return aj;}}

拦截器

packagecom.xc.satoken.config;importcn.dev33.satoken.interceptor.SaAnnotationInterceptor;importorg.springframework.context.annotation.Configuration;importorg.springframework.web.servlet.config.annotation.InterceptorRegistry;importorg.springframework.web.servlet.config.annotation.WebMvcConfigurer;@ConfigurationpublicclassSaTokenConfigimplementsWebMvcConfigurer{// 注册Sa-Token的注解拦截器，打开注解式鉴权功能@OverridepublicvoidaddInterceptors(InterceptorRegistry registry){// 注册注解拦截器，并排除不需要注解鉴权的接口地址 (与登录拦截器无关)
        registry.addInterceptor(newSaAnnotationInterceptor()).addPathPatterns("/**");}}

权限接口设置

packagecom.xc.satoken.config;importcn.dev33.satoken.stp.StpInterface;importorg.springframework.beans.factory.annotation.Autowired;importorg.springframework.stereotype.Component;importjava.util.ArrayList;importjava.util.List;@ComponentpublicclassStpInterfaceImplimplementsStpInterface{@OverridepublicList<String>getPermissionList(Object loginId,String loginType){//真是场景区数据库查，这里就直接模拟List<String> list =newArrayList<>();//        list.add("user*");
        list.add("user:update");
        list.add("user:delete");
        list.add("user:select");return list;}@OverridepublicList<String>getRoleList(Object loginId,String loginType){List<String> list =newArrayList<>();
        list.add("admin");
        list.add("user");return list;}}

首页

<!DOCTYPEhtml><htmllang="en"xmlns:th="http://www.thymeleaf.org"><head><metacharset="UTF-8"><title>首页</title></head><body><h1>欢迎来到satoken的世界</h1><ahref="testlogin.html">测试登录认证</a><br><ahref="testPerm.html">测试权限认证</a><br><ahref="testlogour.html">测试注销下线</a><br><ahref=testAnno.html>测试注解鉴权</a></body></html>

登录相关

<!DOCTYPEhtml><htmllang="en"xmlns:th="http://www.thymeleaf.org"><head><metacharset="UTF-8"><title>测试登录与认证</title></head><body><formaction="/user/login"method="post">
    用户名:<inputtype="text"name="username"><br>
    密码：<inputtype="password"name="password"><br><inputtype="checkbox"name="rememberMe">记住我<br><inputtype="submit"name="登录"></form><br><ahref="/user/logout">注销</a><br><ahref="/user/isLogin">是否登录isLogin</a><br><ahref="/user/checkLogin">是否登录checkLogin</a><br></body></html>

注销相关

<!DOCTYPEhtml><htmllang="en"xmlns:th="http://www.thymeleaf.org"><head><metacharset="UTF-8"><title>测试注销下线</title></head><body><formaction="/user/login"method="post">
    用户名:<inputtype="text"name="username"><br>
    密码：<inputtype="password"name="password"><br><inputtype="submit"name="登录"></form><br><ahref="/user/logout">是否注销</a><br><ahref="/user/kickout">是否下线</a><br><ahref="/user/disable">是否封禁</a><br><ahref="/user/checkLogin">是否登录checkLogin</a></body></html>

权限相关

<!DOCTYPEhtml><htmllang="en"xmlns:th="http://www.thymeleaf.org"><head><metacharset="UTF-8"><title>Title</title></head><body><formaction="/user/login"method="post">
    用户名:<inputtype="text"name="username"><br>
    密码：<inputtype="password"name="password"><br><inputtype="submit"name="登录"></form><br><ahref="/user/hasRoleOr">是否hasRoleOr</a><br><ahref="/user/checkRoleAnd">是否hasRoleAnd</a><br><ahref="/user/hasRole">是否hasRole</a><br><ahref="/user/hasPermOr">是否hasPermOr</a><br><ahref="/user/checkPermAnd">是否checkPermAnd</a><br><ahref="/user/hasPerm">是否hasPerm(user:select)</a></body></html>

注解相关

<!DOCTYPEhtml><htmllang="en"xmlns:th="http://www.thymeleaf.org"><head><metacharset="UTF-8"><title>测试注解鉴权</title></head><body><formaction="/user/login"method="post">
    用户名:<inputtype="text"name="username"><br>
    密码：<inputtype="password"name="password"><br><inputtype="submit"name="登录"></form><br><ahref="/user/info">登录看查看</a><br><ahref="/user/add1">admin可看</a><br><ahref="/user/add">有user:add可看</a><br><ahref="/user/atJurOr">有"user：add", "user：all", "user：delete"其中之一可看</a><br><ahref="/user/userAdd">有user：add或是admin可看</a><br><ahref="/user/add2">必须二级认证之后才能进入该方法 </a><br><ahref="/user/add3">只有通过 Basic 认证后才能进入该方法</a></body></html>
标签： java 安全
本文转载自: https://blog.csdn.net/weixin_43967582/article/details/122075950
版权归原作者 xiaocstudy 所有， 如有侵权，请联系我们删除。
登录后发布评论

“Sa-token简单介绍和基本使用”的评论:

还没有评论
关于作者
...
overfit同步小助手
文章同步
相关阅读

安全代码编写规范

Postman：Postman脚本编写：使用Tests脚本进行响应验证

VsCode 如何自定义代码片段（Code Snippet）

数据结构之带头双向循环链表

Hive复杂数据类型之array数组

【HTML+CSS】深入理解HTML中的＜div＞标签：布局与样式的基石

ArkWeb网络安全基础 - 跨域请求与解决方案

文章导航