同步操作将从 dromara/Sa-Token 强制同步,此操作会覆盖自 Fork 仓库以来所做的任何修改,且无法恢复!!!
确定后同步将在后台操作,完成时将刷新页面,请耐心等待。
我们将会尽力讲解每个功能的设计原因、应用场景,用心阅读文档,你学习到的将不止是 Sa-Token
框架本身,更是绝大多数场景下权限设计的最佳实践。
注:学习测试请拉取 master 分支,dev 为正在开发的分支,有很多特性并不稳定。
开源不易,点个 star 鼓励一下吧!
QQ交流群:1群 1002350610 (已满)、2群 614714762 点击加入
Sa-Token 是一个轻量级 Java 权限认证框架,主要解决:登录认证
、权限认证
、Session会话
、单点登录
、OAuth2.0
、微服务网关鉴权
等一系列权限相关问题。
Sa-Token 的 API 设计非常简单,有多简单呢?以登录认证为例,你只需要:
// 在登录时写入当前会话的账号id
StpUtil.login(10001);
// 然后在需要校验登录处调用以下方法:
// 如果当前会话未登录,这句代码会抛出 `NotLoginException` 异常
StpUtil.checkLogin();
至此,我们已经借助 Sa-Token 完成登录认证!
此时的你小脑袋可能飘满了问号,就这么简单?自定义 Realm 呢?全局过滤器呢?我不用写各种配置文件吗?
没错,在 Sa-Token 中,登录认证就是如此简单,不需要任何的复杂前置工作,只需这一行简单的API调用,就可以完成会话登录认证!
当你受够 Shiro、SpringSecurity 等框架的三拜九叩之后,你就会明白,相对于这些传统老牌框架,Sa-Token 的 API 设计是多么的简单、优雅!
权限认证示例(只有具备 user:add
权限的会话才可以进入请求)
@SaCheckPermission("user:add")
@RequestMapping("/user/insert")
public String insert(SysUser user) {
// ...
return "用户增加";
}
将某个账号踢下线(待到对方再次访问系统时会抛出NotLoginException
异常)
// 将账号id为 10001 的会话踢下线
StpUtil.kickout(10001);
在 Sa-Token 中,绝大多数功能都可以 一行代码 完成:
StpUtil.login(10001); // 标记当前会话登录的账号id
StpUtil.getLoginId(); // 获取当前会话登录的账号id
StpUtil.isLogin(); // 获取当前会话是否已经登录, 返回true或false
StpUtil.logout(); // 当前会话注销登录
StpUtil.kickout(10001); // 将账号为10001的会话踢下线
StpUtil.hasRole("super-admin"); // 查询当前账号是否含有指定角色标识, 返回true或false
StpUtil.hasPermission("user:add"); // 查询当前账号是否含有指定权限, 返回true或false
StpUtil.getSession(); // 获取当前账号id的Session
StpUtil.getSessionByLoginId(10001); // 获取账号id为10001的Session
StpUtil.getTokenValueByLoginId(10001); // 获取账号id为10001的token令牌值
StpUtil.login(10001, "PC"); // 指定设备标识登录,常用于“同端互斥登录”
StpUtil.kickout(10001, "PC"); // 指定账号指定设备标识踢下线 (不同端不受影响)
StpUtil.openSafe(120); // 在当前会话开启二级认证,有效期为120秒
StpUtil.checkSafe(); // 校验当前会话是否处于二级认证有效期内,校验失败会抛出异常
StpUtil.switchTo(10044); // 将当前会话身份临时切换为其它账号
即使不运行测试,相信您也能意会到绝大多数 API 的用法。
对于单点登录,网上教程大多以CAS模式为主,其实对于不同的系统架构,实现单点登录的步骤也大为不同,Sa-Token由简入难将其划分为三种模式:
系统架构 | 采用模式 | 简介 | 文档链接 |
---|---|---|---|
前端同域 + 后端同 Redis | 模式一 | 共享Cookie同步会话 | 文档、示例 |
前端不同域 + 后端同 Redis | 模式二 | URL重定向传播会话 | 文档、示例 |
前端不同域 + 后端 不同Redis | 模式三 | Http请求获取会话 | 文档、示例 |
c1.domain.com
、c2.domain.com
、c3.domain.com
[权限缓存与业务缓存分离]
的解决方案,详情戳:Alone独立Redis插件
Ticket劫持
、Token窃取
等常见攻击手段(文档讲述攻击原理和防御手段)http://a.com?id=1&name=2
,登录成功之后就变成了:http://a.com?id=1
,Sa-Token-SSO内有专门的算法保证了参数不丢失,登录成功之后原路返回页面权限认证
+ 单点登录
问题,让你不再到处搜索:xxx单点登录与xxx权限认证如何整合……Sa-OAuth2 模块基于 RFC-6749 标准 编写,通过Sa-OAuth2你可以非常轻松的实现系统的OAuth2.0授权认证
详细参考文档:http://sa-token.dev33.cn/doc/index.html#/oauth2/readme
[ sa-plus ]:一个基于 SpringBoot 架构的快速开发框架,内置代码生成器
[ jthink ]: 一个基于 SpringBoot + Sa-Token + Thymeleaf 的博客系统
[ dcy-fast ]: 一个基于 SpringBoot + Sa-Token + Mybatis-Plus 的后台管理系统,前端vue-element-admin,并且内置代码生成器
[ helio-starters ]: 基于JDK15 + Spring Boot 2.4 + Sa-Token + Mybatis-Plus的单体Boot版脚手架和微服务Cloud版脚手架,带有配套后台管理前端模板及代码生成器
[ sa-token-plugin ]:Sa-Token第三方插件实现,基于Sa-Token-Core,提供一些与官方不同实现机制的的插件集合,作为Sa-Token开源生态的补充
[ easy-admin ]:一个基于SpringBoot2 + Sa-Token + Mybatis-Plus + Snakerflow + Layui 的后台管理系统,灵活多变可前后端分离,也可单体,内置代码生成器、权限管理、工作流引擎等
[ RuoYi-Vue-Plus ]:基于 RuoYi-Vue 集成 SaToken + Lombok + Mybatis-Plus + Undertow + knife4j + Hutool + Feign 重写所有原生业务 定期与 RuoYi-Vue 同步
如果您的项目使用了Sa-Token,欢迎提交pr
[ OkHttps ]: 一个轻量级http通信框架,API设计无比优雅,支持 WebSocket 以及 Stomp 协议
[ Bean Searcher ]: 轻量级关系数据库条件检索引擎,使一行代码实现复杂列表检索成为可能!
[ 小诺快速开发平台 ]: 基于SpringBoot2 + AntDesignVue全新快速开发平台,同时拥有三个版本
[ Jpom ]: 简而轻的低侵入式在线构建、自动部署、日常运维、项目监控软件
[ TLog ]: 一个轻量级的分布式日志标记追踪神器
感谢每一个为 Sa-Token 贡献代码的小伙伴
QQ交流群:1群:1002350610 (已满) 、 2群:614714762 点击加入
微信交流群:
(扫码添加微信,备注:sa-token,邀您加入群聊)
此处可能存在不合适展示的内容,页面不予展示。您可通过相关编辑功能自查并修改。
如您确认内容无涉及 不当用语 / 纯广告导流 / 暴力 / 低俗色情 / 侵权 / 盗版 / 虚假 / 无价值内容或违法国家有关法律法规的内容,可点击提交进行申诉,我们将尽快为您处理。