权限认证推荐用Sa-Token吗？

Question

请问分布式Spring项目，权限认证推荐用Sa-Token吗？

Answer 1

引自免费微信小程序：皆我百晓生

在设计一个分布式Spring项目的权限认证时，可以考虑使用多种技术方案，包括但不限于OAuth 2.0、JWT（JSON Web Tokens）、Spring Security等。Sa-Token 是一个基于 JWT 的权限管理框架，它提供了一些额外的功能，比如全局唯一ID生成、Token 过期自动刷新、以及与 Spring Boot 集成良好等特性。

如果你的项目对以下功能有需求，那么 Sa-Token 可能是一个不错的选择：

1. 基于 JWT 的轻量级认证。
2. 自动 Token 刷新机制。
3. 支持单点登录（SSO）。
4. 简洁易用的 API 和文档。

但是，如果你已经熟悉 Spring Security 或者对 OAuth 2.0 等其他授权协议更熟悉，那么可能不需要引入额外的框架。Spring Security 提供了全面的安全解决方案，包括权限控制、会话管理、OAuth 2.0 等。

如果你决定使用 Sa-Token，以下是基本步骤：

首先，添加依赖到 pom.xml 文件中：

<dependency>
    <groupId>com.alicp</groupId>
    <artifactId>sa-token</artifactId>
    <version>4.6.5</version>
</dependency>

然后，在配置类中启用 Sa-Token：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends GlobalAuthenticationConfigurerAdapter {

    @Autowired
    private Sa-TokenProperties properties;

    @Override
    public void init(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("admin").password(passwordEncoder().encode("password")).roles("ADMIN");
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return NoOpPasswordEncoder.getInstance();
    }

    @Bean
    public SaTokenFilter authenticationTokenFilterBean() throws Exception {
        SaTokenFilter filter = new SaTokenFilter();
        filter.setAuthenticationManager(authenticationManager());
        filter.setJwtService(jwtService());
        return filter;
    }

    @Bean
    public JwtService jwtService() {
        return new JwtServiceImpl(properties);
    }
}

接着，你需要创建一个 UserDetailsService 实现，用于验证用户信息：

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 在这里从数据库或其他源获取用户信息
        User user = userService.getUser(username);
        if (user == null) {
            throw new UsernameNotFoundException("User not found with username: " + username);
        }
        return new org.springframework.security.core.userdetails.User(
                user.getUsername(),
                user.getPassword(),
                AuthorityUtils.createAuthorityList(user.getRole())
        );
    }
}

最后，定义一个过滤器来处理请求中的 Token：

@Component
@Order(Ordered.HIGHEST_PRECEDENCE)
public class AuthRequestFilter extends OncePerRequestFilter {

    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Autowired
    private JwtService jwtService;

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
            throws ServletException, IOException {
        try {
            String token = extractToken(request);
            if (StringUtils.hasText(token)) {
                Authentication authentication = jwtService.getAuthentication(token);
                SecurityContextHolder.getContext().setAuthentication(authentication);
            }
        } catch (Exception e) {
            // 处理 Token 解析异常
        }
        chain.doFilter(request, response);
    }

    private String extractToken(HttpServletRequest request) {
        String authorizationHeader = request.getHeader("Authorization");
        if (authorizationHeader != null && authorizationHeader.startsWith("Bearer ")) {
            return authorizationHeader.substring(7);
        }
        return null;
    }
}

这只是一个基础的示例，实际应用中你可能还需要根据业务需求进行调整。例如，实现 Token 刷新逻辑、错误处理、角色和权限映射等。

记住，选择技术方案时，确保它能满足你的具体需求，并且团队成员对该技术有一定的了解和经验。如果你对 Spring Security 已经非常熟悉，那么可能不需要引入 Sa-Token，而是直接利用 Spring Security 的强大功能进行权限管理和认证。