Sa-Token浅谈

这篇具有很好参考价值的文章主要介绍了Sa-Token浅谈。希望对大家有所帮助。如果存在错误或未考虑完全的地方,请大家不吝赐教,您也可以点击"举报违法"按钮提交疑问。

主要介绍Sa-Token的鉴权使用以及实现原理。

简介

官网介绍的非常详细,主要突出这是一个轻量级鉴权框架的特点,详情可自行访问:https://sa-token.dev33.cn/doc.html#/

Sa-Token浅谈

使用

旨在简单使用,大部分功能均可以在一行代码内实现,这里举几个官网示例:

首先添加依赖:

<!-- Sa-Token 权限认证,在线文档:https://sa-token.cc -->
<dependency>
    <groupId>cn.dev33</groupId>
    <artifactId>sa-token-spring-boot-starter</artifactId>
    <version>1.33.0</version>
</dependency>

yaml配置文件:

server:
    # 端口
    port: 8081

############## Sa-Token 配置 (文档: https://sa-token.cc) ##############
sa-token: 
    # token名称 (同时也是cookie名称)
    token-name: satoken
    # token有效期,单位s 默认30天, -1代表永不过期 
    timeout: 2592000
    # token临时有效期 (指定时间内无操作就视为token过期) 单位: 秒
    activity-timeout: -1
    # 是否允许同一账号并发登录 (为true时允许一起登录, 为false时新登录挤掉旧登录) 
    is-concurrent: true
    # 在多人登录同一账号时,是否共用一个token (为true时所有登录共用一个token, 为false时每次登录新建一个token) 
    is-share: true
    # token风格
    token-style: uuid
    # 是否输出操作日志 
    is-log: false
// 会话登录,参数填登录人的账号id 
StpUtil.login(10001);
// 校验当前客户端是否已经登录,如果未登录则抛出 `NotLoginException` 异常
StpUtil.checkLogin();
// 将账号id为 10077 的会话踢下线 
StpUtil.kickout(10077);

功能图如下所示:

Sa-Token浅谈

源码解释

解释登录原理

StpUtil.login(usId);

这短短的一句话代码蕴藏了多少玄机,我们一探究竟。

首先我们观察现象,模拟一个登录入口/login,里面做一个最简单的动作,就是将前端传入的usId作为用户id并交给StpUtil执行登录逻辑,并最终将usId返回。

@GetMapping("/login")
private String login(String usId){
    StpUtil.login(usId);
    return usId;
}

访问 http://localhost:8081/login?usId=123,成功返回结果123。

随后我们F12查看浏览器的控制台,Application->打开Cookies:

Sa-Token浅谈

能够观察到Cookies自动新增了一个键为satoken的cookie键值对,值类似于uuid随机字符串,此处示例为9ea38efb-228f-4131-b844-903467caf205,过期时间设置了30天,可对应前面配置文件的配置信息,satoken的cookie名称以及过期时间均支持配置调整。


接下来我们分析源码:

首先通过StpUtil作为入口,实际上通过实例化StpLogic来进行调用:

// StpUtil.java
public static StpLogic stpLogic = new StpLogic("login");

public static void login(Object id) {
    stpLogic.login(id);
}

随后在StpLogic中,通过传入的Object id以及SaLoginModel进行构建会话:

// StpLogic.java
public void login(Object id) {
    this.login(id, new SaLoginModel());
}

// 通过这两个方法进行会话建立 createLoginSession()/setTokenValue()
public void login(Object id, SaLoginModel loginModel) {
    // 1、创建会话 
    String token = this.createLoginSession(id, loginModel);
    // 2、在当前客户端注入Token 
    setTokenValue(token, loginModel);
}

创建会话

分析StpLogic.createLoginSession()方法

public String createLoginSession(Object id, SaLoginModel loginModel) {
    // 1.这个设计可以借鉴一下,直接可以判断id值为null就抛异常,将异常封装起来
    SaTokenException.throwByNull(id, "账号id不能为空", 11002);
    // 2.获取配置信息
    SaTokenConfig config = this.getConfig();
    loginModel.build(config);
    // 3.生成token(若已经有存在生效的token则使用原先的token)
    String tokenValue = this.distUsableToken(id, loginModel);
    // 4.获取 User-Session/首次登录则创建会话,使用自定义封装的SaSession对象接收
    SaSession session = this.getSessionByLoginId(id, true);
    session.updateMinTimeout(loginModel.getTimeout());
    session.addTokenSign(tokenValue, loginModel.getDeviceOrDefault());
    // 5.设置token -> id 映射关系  
    this.saveTokenToIdMapping(tokenValue, id, loginModel.getTimeout());
    // 调用getSaTokenDao().set设置tokenValue与失效时间的关系
    this.setLastActivityToNow(tokenValue);
    // 6.事件发布
    SaTokenEventCenter.doLogin(this.loginType, id, tokenValue, loginModel);
    // 7.检查此账号会话数量是否超出最大值,-1表示不限会话数量
    if (config.getMaxLoginCount() != -1) {
        logoutByMaxLoginCount(id, session, (String)null, config.getMaxLoginCount());
    }

    return tokenValue;
}

1.前置检查

判断Object id是否为null

 SaTokenException.throwByNull(id, "账号id不能为空", 11002);

public static void throwByNull(Object value, String message, int code) {
    if(SaFoxUtil.isEmpty(value)) {
        throw new SaTokenException(message).setCode(code);
    }
}

2.获取配置

StpLogic.getConfig():

// 2.获取配置信息
SaTokenConfig config = this.getConfig();

Sa-Token浅谈

3.分配token

StpLogic.distUsableToken():

protected String distUsableToken(Object id, SaLoginModel loginModel) {
    Boolean isConcurrent = this.getConfig().getIsConcurrent();
    if (!isConcurrent) {
        this.replaced(id, loginModel.getDevice());
    }

    if (SaFoxUtil.isNotEmpty(loginModel.getToken())) {
        return loginModel.getToken();
    } else {
        if (isConcurrent && this.getConfigOfIsShare() && !loginModel.isSetExtraData()) {
            // 获取token
            String tokenValue = this.getTokenValueByLoginId(id, loginModel.getDeviceOrDefault());
            // 已经存在会话,将之前生成的token返回
            if (SaFoxUtil.isNotEmpty(tokenValue)) {
                return tokenValue;
            }
        }
		// *新会话,生成一个新token,可借鉴,见下方解析
        return this.createTokenValue(id, loginModel.getDeviceOrDefault(), loginModel.getTimeout(), loginModel.getExtraData());
    }
}

解析StpLogic.createTokenValue():

public class StpLogic {
    // ...
    
    public String createTokenValue(Object loginId, String device, long timeout, Map<String, Object> extraData) {
        // SaStrategy.me:使用SaStrategy的单例引用
        // SaStrategy.me.createToken:调用createToken()方法
        // SaStrategy.me.createToken.apply:使得结果生效
        return SaStrategy.me.createToken.apply(loginId, loginType);
    }
}


public final class SaStrategy {
    public static final SaStrategy me = new SaStrategy();
    
    public BiFunction<Object, String, String> createToken = (loginId, loginType) -> {
		// 根据配置的tokenStyle生成不同风格的token 
		String tokenStyle = SaManager.getConfig().getTokenStyle();
		// uuid 
		if(SaTokenConsts.TOKEN_STYLE_UUID.equals(tokenStyle)) {
			return UUID.randomUUID().toString();
		}
		// 简单uuid (不带下划线)
		if(SaTokenConsts.TOKEN_STYLE_SIMPLE_UUID.equals(tokenStyle)) {
			return UUID.randomUUID().toString().replaceAll("-", "");
		}
		// 32位随机字符串
		if(SaTokenConsts.TOKEN_STYLE_RANDOM_32.equals(tokenStyle)) {
			return SaFoxUtil.getRandomString(32);
		}
		// 64位随机字符串
		if(SaTokenConsts.TOKEN_STYLE_RANDOM_64.equals(tokenStyle)) {
			return SaFoxUtil.getRandomString(64);
		}
		// 128位随机字符串
		if(SaTokenConsts.TOKEN_STYLE_RANDOM_128.equals(tokenStyle)) {
			return SaFoxUtil.getRandomString(128);
		}
		// tik风格 (2_14_16)
		if(SaTokenConsts.TOKEN_STYLE_TIK.equals(tokenStyle)) {
			return SaFoxUtil.getRandomString(2) + "_" + SaFoxUtil.getRandomString(14) + "_" + SaFoxUtil.getRandomString(16) + "__";
		}
		// 默认,还是uuid 
		return UUID.randomUUID().toString();
	};
    
}

4.获取 User-Session

StpLogic.getSessionByLoginId()

public SaSession getSessionByLoginId(Object loginId, boolean isCreate) {
    return getSessionBySessionId(splicingKeySession(loginId), isCreate);
}

/** 
* 获取指定key的Session, 如果Session尚未创建,isCreate=是否新建并返回
* @param sessionId SessionId
* @param isCreate 是否新建
* @return Session对象 
*/
public SaSession getSessionBySessionId(String sessionId, boolean isCreate) {
    // getSaTokenDao使用了懒加载初始化SaTokenDao对象,最终由new SaTokenDaoDefaultImpl()进行实现具体方法
    // 并根据sessionId获取session
    SaSession session = getSaTokenDao().getSession(sessionId);
    // session暂未建立,进行session新建
    if(session == null && isCreate) {
        // 与上方的createToken使用了同样的设计
        session = SaStrategy.me.createSession.apply(sessionId);
        // 设置session与session过期时效
        getSaTokenDao().setSession(session, getConfig().getTimeout());
    }
    return session;
}

5.设置token-id映射关系

StpLogic.saveTokenToIdMapping()

public void saveTokenToIdMapping(String tokenValue, Object loginId, long timeout) {
	// 如果继续往下深挖其实set方法的实现底层就是一个new ConcurrentHashMap<String, Object>()
    // 并且封装了一个new ConcurrentHashMap<String, Long>()来记录key与过期时间的关系
    // 并且设置的过期过期时间
    getSaTokenDao().set(splicingKeyTokenValue(tokenValue), String.valueOf(loginId), timeout);
}

这里浅浅看一下设置的过期时间如何实现:

/**
* 数据集合 
*/
public Map<String, Object> dataMap = new ConcurrentHashMap<String, Object>();

/**
* 过期时间集合 (单位: 毫秒) , 记录所有key的到期时间 [注意不是剩余存活时间] 
*/
public Map<String, Long> expireMap = new ConcurrentHashMap<String, Long>();

@Override
public void set(String key, String value, long timeout) {
    if(timeout == 0 || timeout <= SaTokenDao.NOT_VALUE_EXPIRE)  {
        return;
    }
    // 设置key-value
    dataMap.put(key, value);
    // 设置key-到期时间
    expireMap.put(key, (timeout == SaTokenDao.NEVER_EXPIRE) ? (SaTokenDao.NEVER_EXPIRE) : (System.currentTimeMillis() + timeout * 1000));
}

/**
* 如果指定key已经过期,则立即清除它。在每个get方法前都首先调用一下这个方法
* @param key 指定key 
*/
void clearKeyByTimeout(String key) {
    Long expirationTime = expireMap.get(key);
    // 清除条件:如果不为空 && 不是[永不过期] && 已经超过过期时间 
    if(expirationTime != null && expirationTime != SaTokenDao.NEVER_EXPIRE && expirationTime < System.currentTimeMillis()) {
        dataMap.remove(key);
        expireMap.remove(key);
    }
}

// ------------------------ String 读写操作 

@Override
public String get(String key) {
    // 首先判断一下key是否已经过期
    clearKeyByTimeout(key);
    return (String)dataMap.get(key);
}

6.登录成功事件发布

SaTokenEventCenter.doLogin

// --------- 注册侦听器 
private static List<SaTokenListener> listenerList = new ArrayList<>();

/**
* 每次登录时触发 
* @param loginType 账号类别
* @param loginId 账号id
* @param tokenValue 本次登录产生的 token 值 
* @param loginModel 登录参数
*/
public static void doLogin(String loginType, Object loginId, String tokenValue, SaLoginModel loginModel) {
    for (SaTokenListener listener : listenerList) {
        listener.doLogin(loginType, loginId, tokenValue, loginModel);
    }
}

主要目的是登录成功后的一些后置处理方法回调等,通过观察我们可以发现只要注册到SaTokenEventCenter.listenerList中即可在遍历中执行监听器的doLogin()方法。目前默认添加控制台日志侦听器,new SaTokenListenerForLog(),主要实现一些日志打印:

Sa-Token浅谈

还有一个空实现的SaTokenListenerForSimple监听器,后续我们如果想要做一些自定义扩展,就可以继承SaTokenListenerForSimple做一些属于我们自己的业务监听器处理:

Sa-Token浅谈

7.检查会话数量

StpLogic.logoutByMaxLoginCount()

/**
* 会话注销,根据账号id 和 设备类型 和 最大同时在线数量 
* 
* @param loginId 账号id 
* @param session 此账号的 Session 对象,可填写null,框架将自动获取 
* @param device 设备类型 (填null代表注销所有设备类型) 
* @param maxLoginCount 保留最近的几次登录 
*/
public void logoutByMaxLoginCount(Object loginId, SaSession session, String device, int maxLoginCount) {
    if(session == null) {
        session = getSessionByLoginId(loginId, false);
        if(session == null) {
            return;
        }
    }
    List<TokenSign> list = session.tokenSignListCopyByDevice(device);
    // 遍历操作 
    for (int i = 0; i < list.size(); i++) {
        // 只操作前n条 
        if(i >= list.size() - maxLoginCount) {
            continue;
        }
        // 清理: token签名、token最后活跃时间 
        String tokenValue = list.get(i).getValue();
        session.removeTokenSign(tokenValue); 
        clearLastActivity(tokenValue); 	
        // 删除Token-Id映射 & 清除Token-Session 
        deleteTokenToIdMapping(tokenValue);
        deleteTokenSession(tokenValue);
        // $$ 发布事件:指定账号注销 
        SaTokenEventCenter.doLogout(loginType, loginId, tokenValue);
    }
    // 注销 Session 
    session.logoutByTokenSignCountToZero();
}

客户端注入Token

分析StpLogic.setTokenValue()方法

/**
* 在当前会话写入当前TokenValue 
* @param tokenValue token值 
* @param loginModel 登录参数 
*/
public void setTokenValue(String tokenValue, SaLoginModel loginModel){

    if(SaFoxUtil.isEmpty(tokenValue)) {
        return;
    }

    // 1. 将 Token 保存到 [存储器] 里  
    setTokenValueToStorage(tokenValue);

    // 2. 将 Token 保存到 [Cookie] 里 此处对应
    if (getConfig().getIsReadCookie()) {
        setTokenValueToCookie(tokenValue, loginModel.getCookieTimeout());
    }

    // 3. 将 Token 写入到响应头里 
    if(loginModel.getIsWriteHeaderOrGlobalConfig()) {
        setTokenValueToResponseHeader(tokenValue);
    }
}

参考资料:文章来源地址https://www.toymoban.com/news/detail-484784.html

  • Sa-Token官网介绍
  • sa-token使用(源码解析 + 万字)

到了这里,关于Sa-Token浅谈的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处: 如若内容造成侵权/违法违规/事实不符,请点击违法举报进行投诉反馈,一经查实,立即删除!

领支付宝红包 赞助服务器费用

相关文章

  • Sa-Token 多账号认证:同时为系统的 Admin 账号和 User 账号提供鉴权操作

    Sa-Token 是一个轻量级 java 权限认证框架,主要解决登录认证、权限认证、单点登录、OAuth2、微服务网关鉴权 等一系列权限相关问题。 Gitee 开源地址:https://gitee.com/dromara/sa-token 本篇将介绍 Sa-Token 中的多账号认证操作。 有的时候,我们会在一个项目中设计两套账号体系,比如

    2024年02月16日
    浏览(31)
  • Sa-Token组件介绍

    个人博客:无奈何杨(wnhyang) 个人语雀:wnhyang 共享语雀:在线知识共享 Github:wnhyang - Overview 前文讲了Sa-Token介绍与SpringBoot环境下使用,但是 satoken 最重要的登录鉴权直接略过了,那这篇文章就开讲,😂当然不是啦。看标题就知道这次要讲的是 satoken 组件,为什么这么安排

    2024年01月20日
    浏览(40)
  • SpringBoot 使用 Sa-Token 完成权限认证

    所谓权限认证,核心逻辑就是判断一个账号是否拥有指定权限: 有,就让你通过。 没有?那么禁止访问! 深入到底层数据中,就是每个账号都会拥有一个权限码集合,框架来校验这个集合中是否包含指定的权限码。 例如:当前账号拥有权限码集合 [\\\"user-add\\\", \\\"user-delete\\\", \\\"us

    2023年04月25日
    浏览(44)
  • 使用 Sa-Token 完成踢人下线功能

    在企业级项目中,踢人下线是一个很常见的需求,如果要设计比较完善的话,至少需要以下功能点: 可以根据用户 userId 踢出指定会话,对方再次访问系统会被提示:您已被踢下线,请重新登录。 可以查询出一个账号共在几个设备端登录,并返回其对应的 Token 凭证,以便后

    2024年02月03日
    浏览(38)
  • Sa-Token v.1.31.0 新增拦截器 SaInterceptor 功能说明,以及旧代码迁移示例

    前言 如果你的项目没有使用旧写法,可以忽略本篇文章 移步官网,本文只针对旧版本到新版本的迁移提供示例。 1、旧版本 Sa-Token 在 1.30.0 及以下版本中使用两个拦截器: SaAnnotationInterceptor :负责提供注解鉴权能力。 SaRouteInterceptor :负责提供路由拦截鉴权能力。 这次新增

    2024年02月07日
    浏览(116)
  • 前后端分离架构下使用 Sa-Token 完成登录认证

    目前绝大多数系统都已经采用 “前后端分离” 架构来设计了,传统的Session模式鉴权也不再适合这种架构(或者需要额外写很多的代码来专门适配)。 Sa-Token 是一个 java 轻量级权限认证框架,专为前后端分离架构打造,主要解决登录认证、权限认证、单点登录、OAuth2、微服务

    2024年02月07日
    浏览(46)
  • 使用 Sa-Token 实现 [记住我] 模式登录、七天免登录

    如图所示,一般网站的登录界面都会有一个 [记住我] 按钮,当你勾选它登录后,即使你关闭浏览器再次打开网站,也依然会处于登录状态,无须重复验证密码: 本文将详细介绍在 Sa-Token中,如何做到以下登录模式: 记住我登录:登录后关闭浏览器,再次打开网站登录状态依

    2024年02月09日
    浏览(42)
  • 【Sa-Token】SpringBoot 整合 Sa-Token 快速实现 API 接口签名安全校验

    在涉及跨系统接口调用时,我们容易碰到以下安全问题: 请求身份被伪造 请求参数被篡改 请求被抓包,然后重放攻击 sa-token api-sign 模块将帮你轻松解决以上难题。(此插件是内嵌到 sa-token-core 核心包中的模块,开发者无需再次引入其它依赖,插件直接可用) 假设我们有如

    2024年02月17日
    浏览(48)
  • 使用 Sa-Token 实现不同的登录模式:单地登录、多地登录、同端互斥登录

    如果你经常使用腾讯QQ,就会发现它的登录有如下特点:它可以手机电脑同时在线,但是不能在两个手机上同时登录一个账号。 同端互斥登录,指的就是:像腾讯QQ一样,在同一类型设备上只允许单地点登录,在不同类型设备上允许同时在线。 动态演示图: Sa-Token 是一个轻量

    2024年02月13日
    浏览(48)
  • Sa-Token源码简单阅读

    一.权限登录模块包括几个基本子模块: 1.登录。 实现方式大致为:先检验用户名密码是否正确,如正确则在 缓存 中存入用户信息(一般必须要有用户标识和访问token,或再加一些附加信息如用户的角色权限),再返回访问token给客户端。 2.过滤器,主要通过客户端访问时带

    2023年04月26日
    浏览(40)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包,优惠每天领

二维码1

领取红包

二维码2

领红包