SpringBoot 使用 Sa-Token 完成注解鉴权功能

news2024/11/30 8:50:34

注解鉴权 —— 优雅的将鉴权与业务代码分离。本篇我们将介绍在 Sa-Token 中如何通过注解完成权限校验。

Sa-Token 是一个轻量级 java 权限认证框架，主要解决登录认证、权限认证、单点登录、OAuth2、微服务网关鉴权 等一系列权限相关问题。
Gitee 开源地址：https://gitee.com/dromara/sa-token

一、Sa-Token 鉴权注解一览

Sa-Token 为我们提供的鉴权注解包括但不限于以下：

  • @SaCheckLogin: 登录校验 —— 只有登录之后才能进入该方法。
  • @SaCheckRole("admin"): 角色校验 —— 必须具有指定角色标识才能进入该方法。
  • @SaCheckPermission("user:add"): 权限校验 —— 必须具有指定权限才能进入该方法。
  • @SaCheckSafe: 二级认证校验 —— 必须二级认证之后才能进入该方法。
  • @SaCheckBasic: HttpBasic校验 —— 只有通过 Basic 认证后才能进入该方法。
  • @SaCheckDisable("comment")：账号服务封禁校验 —— 校验当前账号指定服务是否被封禁。
  • @SaIgnore：忽略校验 —— 表示被修饰的方法或类无需进行注解鉴权和路由拦截器鉴权。

首先在项目中引入 Sa-Token 依赖：

<!-- Sa-Token 权限认证 -->
<dependency>
    <groupId>cn.dev33</groupId>
    <artifactId>sa-token-spring-boot-starter</artifactId>
    <version>1.34.0</version>
</dependency>

注：如果你使用的是 SpringBoot 3.x，只需要将 sa-token-spring-boot-starter 修改为 sa-token-spring-boot3-starter 即可。

二、登录认证

Sa-Token 使用全局拦截器完成注解鉴权功能，为了不为项目带来不必要的性能负担，拦截器默认处于关闭状态

因此，为了使用注解鉴权，你必须手动将 Sa-Token 的全局拦截器注册到你项目中。

以SpringBoot2.0为例，新建配置类SaTokenConfigure.java

@Configuration
public class SaTokenConfigure implements WebMvcConfigurer {
	// 注册 Sa-Token 拦截器，打开注解式鉴权功能 
	@Override
	public void addInterceptors(InterceptorRegistry registry) {
		// 注册 Sa-Token 拦截器，打开注解式鉴权功能 
		registry.addInterceptor(new SaInterceptor()).addPathPatterns("/**");	
	}
}

保证此类被springboot启动类扫描到即可。

新建 LoginController，添加以下代码：

/**
 * 登录认证注解测试
 */
@RestController
public class LoginController {

    // 访问 home 页，登录后才能访问  ---- http://localhost:8081/home
    @SaCheckLogin
    @RequestMapping("home")
    public SaResult home() {
        return SaResult.ok("访问成功，此处为登录后才能看到的信息");
    }

    // 登录接口  ---- http://localhost:8081/doLogin?name=zhang&pwd=123456
    @RequestMapping("doLogin")
    public SaResult doLogin(String name, String pwd) {
        // 此处仅作模拟示例，真实项目需要从数据库中查询数据进行比对
        if("zhang".equals(name) && "123456".equals(pwd)) {
            StpUtil.login(10001);
            return SaResult.ok("登录成功");
        }
        return SaResult.error("登录失败");
    }

}

启动项目，首次访问资源接口：

http://localhost:8081/home

返回如下：

{
	"code": 500,
	"msg": "未能读取到有效Token",
	"data": null
}

会话尚未登录，因此无法访问资源。

现在我们再去访问一下登录接口：

http://localhost:8081/doLogin?name=zhang&pwd=123456

返回如下：

{
	"code": 200,
	"msg": "登录成功",
	"data": null
}

登录成功，我们再去访问资源接口：

http://localhost:8081/home

返回如下：

{
	"code": 200,
	"msg": "访问成功，此处为登录后才能看到的信息",
	"data": null
}

通过登录认证校验，成功获取到信息！

三、权限认证 & 角色认证

首先我们需要实现 StpInterface 接口，告诉框架指定账号拥有哪些权限码。

/**
 * 自定义权限认证接口扩展，Sa-Token 将从此实现类获取每个账号拥有的权限码 
 * 
 * @author kong
 * @since 2022-10-13
 */
@Component	// 打开此注解，保证此类被springboot扫描，即可完成sa-token的自定义权限验证扩展 
public class StpInterfaceImpl implements StpInterface {

	/**
	 * 返回一个账号所拥有的权限码集合 
	 */
	@Override
	public List<String> getPermissionList(Object loginId, String loginType) {
		// 本list仅做模拟，实际项目中要根据具体业务逻辑来查询权限
		List<String> list = new ArrayList<String>();	
		list.add("101");
		list.add("user.add");
		list.add("user.update");
		list.add("user.get");
		// list.add("user.delete");
		list.add("art.*");
		return list;
	}

	/**
	 * 返回一个账号所拥有的角色标识集合 
	 */
	@Override
	public List<String> getRoleList(Object loginId, String loginType) {
		// 本list仅做模拟，实际项目中要根据具体业务逻辑来查询角色
		List<String> list = new ArrayList<String>();	
		list.add("admin");
		list.add("super-admin");
		return list;
	}

}

使用以下两个注解完成校验：

  • @SaCheckPermission("user.add")：校验当前会话是否具有某个权限。
  • @SaCheckRole("super-admin")：校验当前会话是否具有某个角色。
/**
 * Sa-Token 注解鉴权示例 
 * 
 * @author kong
 * @since 2022-10-13
 */
@RestController
@RequestMapping("/at-check/")
public class AtCheckController {

	/*
	 * 前提1：首先调用登录接口进行登录
	 * 		---- http://localhost:8081/doLogin?name=zhang&pwd=123456
	 * 
	 * 前提2：项目在配置类中注册拦截器 SaInterceptor ，此拦截器将打开注解鉴权功能 
	 * 
	 * 前提3：项目实现了 StpInterface 接口，此接口会告诉框架指定账号拥有哪些权限码
	 * 
	 * 然后我们就可以使用以下示例中的代码进行注解鉴权了 
	 */
	
	// 权限校验   ---- http://localhost:8081/at-check/checkPermission
	//		只有具有 user.add 权限的账号才可以进入方法 
	@SaCheckPermission("user.add")
	@RequestMapping("checkPermission")
	public SaResult checkPermission() {
		// ... 
		return SaResult.ok();
	}

	// 角色校验   ---- http://localhost:8081/at-check/checkRole
	//		只有具有 super-admin 角色的账号才可以进入方法 
	@SaCheckRole("super-admin")
	@RequestMapping("checkRole")
	public SaResult checkRole() {
		// ... 
		return SaResult.ok();
	}
	
}

可根据代码注释提供的链接进行测试访问。

四、设定校验模式

@SaCheckRole与@SaCheckPermission注解可设置校验模式，例如：

// 注解式鉴权：只要具有其中一个权限即可通过校验 
@RequestMapping("atJurOr")
@SaCheckPermission(value = {"user-add", "user-all", "user-delete"}, mode = SaMode.OR)		
public SaResult atJurOr() {
	return SaResult.data("用户信息");
}

mode有两种取值：

  • SaMode.AND, 标注一组权限，会话必须全部具有才可通过校验。
  • SaMode.OR, 标注一组权限，会话只要具有其一即可通过校验。

五、角色权限双重 “or校验”

假设有以下业务场景：一个接口在具有权限 user.add 或角色 admin 时可以调通。怎么写？

// 角色权限双重 “or校验”：具备指定权限或者指定角色即可通过校验
@RequestMapping("userAdd")
@SaCheckPermission(value = "user.add", orRole = "admin")		
public SaResult userAdd() {
	return SaResult.data("用户信息");
}

orRole 字段代表权限认证未通过时的次要选择，两者只要其一认证成功即可通过校验，其有三种写法：

  • 写法一：orRole = "admin"，代表需要拥有角色 admin 。
  • 写法二：orRole = {"admin", "manager", "staff"}，代表具有三个角色其一即可。
  • 写法三：orRole = {"admin, manager, staff"}，代表必须同时具有三个角色。

六、二级认证

@RestController
@RequestMapping("/at/")
public class AtController {

	// 在当前会话完成二级认证  ---- http://localhost:8081/at/openSafe 
	@RequestMapping("openSafe")
	public SaResult openSafe() {
		StpUtil.openSafe(200); // 打开二级认证，有效期为200秒
		return SaResult.ok();
	}
	
	// 通过二级认证后，才可以进入  ---- http://localhost:8081/at/checkSafe 
	@SaCheckSafe
	@RequestMapping("checkSafe")
	public SaResult checkSafe() {
		return SaResult.ok();
	}

}

必须先经过 StpUtil.openSafe(1200) 打开二级认证（参数为指定认证有效期，单位：秒），才可以通过 @SaCheckSafe 的检查。

七、HttpBasic认证：

@RestController
@RequestMapping("/at/")
public class AtController {

	// 通过Basic认证后才可以进入  ---- http://localhost:8081/at/checkBasic 
	@SaCheckBasic(account = "sa:123456")
	@RequestMapping("checkBasic")
	public SaResult checkBasic() {
		return SaResult.ok();
	}
	
}

当我们访问这个接口时，浏览器会强制弹出一个表单：

img

当我们输入账号密码后 （sa / 123456），才可以继续访问数据：

img

八、服务禁用性校验

@RestController
@RequestMapping("/at/")
public class AtController {

	// 只有当前服务没有禁用 comment 服务时，才能够进入方法  ---- http://localhost:8081/at/comment 
	@SaCheckDisable("comment")
	@RequestMapping("comment")
	public SaResult comment() {
		return SaResult.ok();
	}

}

@SaCheckDisable 注解的作用是检测当前账号是否被禁用了指定服务，如果已被禁用则无法进入指定方法，
在之后的章节我们会详细讲述服务禁用的相关代码，此处先稍作了解即可。

九、忽略认证

使用 @SaIgnore 可表示一个接口忽略认证：

@SaCheckLogin
@RestController
public class TestController {
	
	// ... 其它方法 
	
	// 此接口加上了 @SaIgnore 可以游客访问 
	@SaIgnore
	@RequestMapping("getList")
	public SaResult getList() {
		// ... 
		return SaResult.ok(); 
	}
}

如上代码表示：TestController 中的所有方法都需要登录后才可以访问，但是 getList 接口可以匿名游客访问。

  • @SaIgnore 修饰方法时代表这个方法可以被游客访问，修饰类时代表这个类中的所有接口都可以游客访问。
  • @SaIgnore 具有最高优先级，当 @SaIgnore 和其它鉴权注解一起出现时，其它鉴权注解都将被忽略。
  • @SaIgnore 同样可以忽略掉 Sa-Token 拦截器中的路由鉴权，在下面的 [路由拦截鉴权] 章节中我们会讲到。

十、在业务逻辑层使用注解鉴权

疑问：我能否将注解写在其它架构层呢，比如业务逻辑层？

使用拦截器模式，只能在Controller层进行注解鉴权，如需在任意层级使用注解鉴权，可使用 AOP注解鉴权 插件。

<!-- Sa-Token 整合 SpringAOP 实现注解鉴权 -->
<dependency>
    <groupId>cn.dev33</groupId>
    <artifactId>sa-token-spring-aop</artifactId>
    <version>1.34.0</version>
</dependency>

集成此插件后，便可以在任意层使用 Sa-Token 的注解鉴权了（例如业务逻辑层），不过需要注意的是：

  • 拦截器模式和AOP模式不可同时集成，否则会在 Controller 层发生一个注解校验两次的bug。

参考资料

  • Sa-Token 文档：https://sa-token.cc
  • Gitee 仓库地址：https://gitee.com/dromara/sa-token
  • GitHub 仓库地址：https://github.com/dromara/sa-token

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/527883.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

生信步骤|EffectorP批量预测病原物效应子

生信步骤|EffectorP批量预测病原物效应子

EffectorP软件利用机器学习原理&#xff0c;通过事先收集已知的效应子制备训练集&#xff0c;从而实现病原真菌和卵菌的效应子预测[1]。 EffectorP发展史[2]&#xff1a; 1.0版本最初在16年发表于NEW PHYTOLOGIST&#xff0c;实现了机器学习初步预测效应子。 2.0版本在18年发表…
阅读更多...
OPPO官宣：哲库解散，哲库是 OPPO 旗下的芯片厂，类似华为海思的角色，有近 3000 名员工

OPPO官宣：哲库解散，哲库是 OPPO 旗下的芯片厂，类似华为海思的角色，有近 3000 名员工

大家好&#xff0c;我是二哥呀。 这两天&#xff0c;互联网最大的声音之一就是&#xff0c;OPPO 将终止芯片业务&#xff0c;相信大多数小伙伴和二哥一样&#xff0c;第一眼看到这则消息的时候&#xff0c;震惊的同时并惋惜&#xff01; ZEKU 是 OPPO 旗下的芯片厂&#xff0…
阅读更多...
Java面试知识点(全)-JVM面试知识点

Java面试知识点(全)-JVM面试知识点

Java面试知识点(全) 导航&#xff1a; https://nanxiang.blog.csdn.net/article/details/130640392 注&#xff1a;随时更新 JVM内存结构 内存结构 Java虚拟机在运行程序时会把其自动管理的内存划分为以上几个区域&#xff0c;每个区域都有的用途以及创建销毁的时机&#xf…
阅读更多...
【JavaScript】手写Promise

【JavaScript】手写Promise

&#x1f431; 个人主页&#xff1a;不叫猫先生 &#x1f64b;‍♂️ 作者简介&#xff1a;2022年度博客之星前端领域TOP 2&#xff0c;前端领域优质作者、阿里云专家博主&#xff0c;专注于前端各领域技术&#xff0c;共同学习共同进步&#xff0c;一起加油呀&#xff01; &am…
阅读更多...
五. AMS实践,Hook启动未注册的Activity

五. AMS实践,Hook启动未注册的Activity

Activity任务栈解析 正常情况下我们的app中的所有Activity都是运行在同一个任务栈(ActivityStack)里面的,也就是我们app的build.gradle文件中的applicationId那个任务栈. 如何实现Activity运行在不同的任务栈呢? 需要在Intent启动这个Activity的时候,给这个intent赋值,设置代…
阅读更多...
【KVM虚拟化】· 存储池、存储卷

【KVM虚拟化】· 存储池、存储卷

目录 &#x1f341;虚拟磁盘文件 &#x1f342;基于文件系统的KVM存储 &#x1f342;基于设备的KVM存储 &#x1f341;使用KVM存储池 &#x1f342;存储池概念 &#x1f341;virsh中存储池命令 &#x1f341;virsh中存储卷命令 &#x1f341;命令实例 &#x1f342;创建存储池 …
阅读更多...
一个开源的即时通讯应用 Tailchat

一个开源的即时通讯应用 Tailchat

今天给大家介绍一款即时通讯应用&#xff0c;这个开源项目是&#xff1a;Tailchat&#xff0c;它是一个基于 React Typescript 的现代开源 noIM 应用程序。 简单介绍 相信大家都或多或少了解过 Discord / Slack 这样大火的即时通讯应用。两者分别在各自的领域有很大的成就。…
阅读更多...
http强缓存和协商缓存的介绍和应用案例，简介明了

http强缓存和协商缓存的介绍和应用案例，简介明了

http强缓存和协商缓存的介绍和应用案例&#xff0c;简介明了 http缓存方式简介缓存机制案例1. Expires老版本的方式&#xff1a;2. cache-control新版本的方式&#xff1a;3.Etag和If-None-Match http缓存方式简介 强缓存&#xff1a;强缓存使用Expires&#xff08;老版本&…
阅读更多...
el-table实现可编辑表格的思路；el-table删除不正确：表格中的el-select下拉数据项有值，但输入框中value值不显示

el-table实现可编辑表格的思路；el-table删除不正确：表格中的el-select下拉数据项有值，但输入框中value值不显示

目录 一、问题 二、原因及解决方法 三、总结 tips:如嫌繁琐&#xff0c;直接看总结即可&#xff01; 一、问题 el-table实现可编辑表格的思路&#xff1a; 1.要写一个可编辑的表格&#xff1a;表格中的一列是下拉框。实现方法很简单&#xff1a;在el-table-column(elemen提…
阅读更多...
PMP课堂模拟题目及解析（第9期）

PMP课堂模拟题目及解析（第9期）

81. 一位经验丰富的项目经理在到达一个重大开发里程碑之前识别到一个问题&#xff0c;项目经理采取相应的行动&#xff0c;并能够按时解决问题。两周后&#xff0c;发起人通知项目经理&#xff0c;客户发出了处罚费。若要避免这个问题&#xff0c;项目经理应该事先做什么&…
阅读更多...
FGX Native 1.4.1.1 For Delphi Crack

FGX Native 1.4.1.1 For Delphi Crack

FGX Native 1.4.1.1 For Delphi Crack FGX Native Network Frame是制造跨平台和现代移动设备的强大工具。FG开发团队的主要目标是简化移动应用程序的开发&#xff0c;使大多数人都能以各种技能开发应用程序。此外&#xff0c;这种形式的网络最重要的功能可以在100%的用户界面中…
阅读更多...
CorelDRAW2020工作室版下载及新增功能介绍

CorelDRAW2020工作室版下载及新增功能介绍

CorelDRAW Graphics Suite 2020将基于人工智能的图形设计提升到一个全新水平。CorelDRAW 中增强了“查找和替换”\“对齐和分布”、阴影效果等功能。您喜欢的 Corel PHOTO-PAINT 功能 — 从遮罩、效果和透镜到“替换颜色”— 均已优化&#xff01; 针对操作系统的功能优化 Core…
阅读更多...
微信之小程序授权登录

微信之小程序授权登录

首先我要怒骂微信的后台开发 真的还是乱七八糟。 首先我们登录微信开发平台 选择要开发的类型 然后小程序登录&#xff1a;选择 微信小程序实现微信登录详解&#xff08;JAVA后台&#xff09;官方文档&#xff1a;https://developers.weixin.qq.com/miniprogram/dev/framework…
阅读更多...
玩转ChatGPT：魔改文章成果格式

玩转ChatGPT：魔改文章成果格式

一、写在前面 首先&#xff0c;我让小Chat替我吐槽一下&#xff1a; 科研人员天天都在填各种表格&#xff0c;简直成了我们的“表格王子”和“表格公主”。从申请项目、提交论文到汇报成果&#xff0c;表格无处不在。我们填表格的时候总是期待着它能让我们的工作更高效、更顺…
阅读更多...
Redis 内存消耗及回收

Redis 内存消耗及回收

Redis 是一个开源、高性能的 Key-Value 数据库&#xff0c;被广泛应用在服务器各种场景中。Redis 是一种内存数据库&#xff0c;将数据保存在内存中&#xff0c;读写效率要比传统的将数据保存在磁盘上的数据库要快很多。所以&#xff0c;监控 Redis 的内存消耗并了解 Redis 内存…
阅读更多...
tinyWebServer 学习笔记——四、日志系统

tinyWebServer 学习笔记——四、日志系统

文章目录 一、基础知识1. 概念2. API 二、代码解析1. 单例模式2. 阻塞队列3. 日志类定义4. 生成日志文件并判断写入方式5. 日志分级与分文件 参考文献 一、基础知识 1. 概念 流程图 [2] 日志&#xff1a;由服务器自动创建&#xff0c;用于记录运行状态和错误信息&#xff1b;同…
阅读更多...
C++系列六：运算符

C++系列六：运算符

C运算符 1. 算术运算符2. 关系运算符3. 逻辑运算符4. 按位运算符5. 取地址运算符6. 取内容运算符7. 成员选择符8. 作用域运算符9. 总结 1. 算术运算符 算术运算符用于执行基本数学运算&#xff0c;例如加减乘除和取模等操作。下表列出了C中支持的算术运算符&#xff1a; 运算…
阅读更多...
JSON+AJAX+ThreadLocal+文件上传下载

JSON+AJAX+ThreadLocal+文件上传下载

文章目录 JSON和AJAX文档介绍1. JSON介绍1.1 JSON快速入门1.2 JSON和字符串转换1.2.1 JSON转字符串1.2.2 字符串转JSON1.2.3 JSON和字符串转换细节 1.3 JSON在java中使用1.3.1 Java对象和JSON字符串转换1.3.2 List对象和JSON字符串转换1.3.3 Map对象和JSON字符串转换 2. Ajax介…
阅读更多...
DAY 58 数据库的存储引擎

DAY 58 数据库的存储引擎

存储引擎的概念 什么是存储引擎 MySQL中的数据用各种不下同的技术存储在文件中&#xff0c;每一种技术都使用不同的存储机制、索引技巧、锁定水平并最终提供不同的功能和能力&#xff0c;这些不同的技术以及配套的功能在MySQL中称为存储引擎。 存储引擎是MySQL将数据存储在文…
阅读更多...
JUC之volatile

JUC之volatile

作用&#xff1a;volatile是Java提供的一种轻量级的同步机制 保证内存可见性 不保证原子性 防止指令重排序 public class VolatileDemo {private static int num0;public static void main(String[] args) {new Thread(()->{while (num0){}},"A").start();try {…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023