推荐一款功能强大的Java权限认证框架，用起来绝对够优雅

• 接下来我们需要把除登录接口以外的接口都添加登录认证，添加Sa-Token的Java配置类SaTokenConfig，注册一个路由拦截器SaRouteInterceptor，这里我们的IgnoreUrlsConfig配置会从配置文件中读取白名单配置；

/**
 * Sa-Token相关配置
 */ @Configuration public class SaTokenConfig implements WebMvcConfigurer { @Autowired private IgnoreUrlsConfig ignoreUrlsConfig; /**
     * 注册sa-token拦截器
     */ @Override public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new SaRouteInterceptor((req, resp, handler) -> { // 获取配置文件中的白名单路径 List<String> ignoreUrls = ignoreUrlsConfig.getUrls(); // 登录认证：除白名单路径外均需要登录认证 SaRouter.match(Collections.singletonList("/**"), ignoreUrls, StpUtil::checkLogin);
        })).addPathPatterns("/**");
    }
} 复制代码

• application.yml文件中的白名单配置如下，注意开放Swagger的访问路径和静态资源路径；

# 访问白名单路径 secure: ignored: urls: - / - /swagger-ui/ - /*.html - /favicon.ico - /**/*.html - /**/*.css - /**/*.js - /swagger-resources/** - /v2/api-docs/** - /actuator/** - /admin/login - /admin/isLogin 复制代码

• 由于未登录状态下访问接口，Sa-Token会抛出NotLoginException异常，所以我们需要全局处理下；

/**
 * 全局异常处理
 * Created by macro on 2020/2/27.
 */ @ControllerAdvice public class GlobalExceptionHandler { /**
     * 处理未登录的异常
     */ @ResponseBody @ExceptionHandler(value = NotLoginException.class) public CommonResult handleNotLoginException(NotLoginException e) { return CommonResult.unauthorized(e.getMessage());
    }
} 复制代码

• 之后当我们在登录状态下访问接口时，可以获取到数据；

角色认证

角色认证也就是我们定义好一套规则，比如ROLE-ADMIN角色可以访问/brand下的所有资源，而ROLE_USER角色只能访问/brand/listAll，接下来我们来实现下角色认证。

• 首先我们需要扩展Sa-Token的StpInterface接口，通过实现方法来返回用户的角色码和权限码；

/**
 * 自定义权限验证接口扩展
 */ @Component public class StpInterfaceImpl implements StpInterface { @Autowired private UmsAdminService adminService; @Override public List<String> getPermissionList(Object loginId, String loginType) {
        AdminUser adminUser = adminService.getAdminById(Convert.toLong(loginId)); return adminUser.getRole().getPermissionList();
    } @Override public List<String> getRoleList(Object loginId, String loginType) {
        AdminUser adminUser = adminService.getAdminById(Convert.toLong(loginId)); return Collections.singletonList(adminUser.getRole().getName());
    }
} 复制代码

• 然后在Sa-Token的拦截器中配置路由规则，ROLE_ADMIN角色可以访问所有路径，而ROLE_USER只能访问/brand/listAll路径；

/**
 * Sa-Token相关配置
 */ @Configuration public class SaTokenConfig implements WebMvcConfigurer { @Autowired private IgnoreUrlsConfig ignoreUrlsConfig; /**
     * 注册sa-token拦截器
     */ @Override public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new SaRouteInterceptor((req, resp, handler) -> { // 获取配置文件中的白名单路径 List<String> ignoreUrls = ignoreUrlsConfig.getUrls(); // 登录认证：除白名单路径外均需要登录认证 SaRouter.match(Collections.singletonList("/**"), ignoreUrls, StpUtil::checkLogin); // 角色认证：ROLE_ADMIN可以访问所有接口，ROLE_USER只能访问查询全部接口 SaRouter.match("/brand/listAll", () -> {
                StpUtil.checkRoleOr("ROLE_ADMIN","ROLE_USER"); //强制退出匹配链 SaRouter.stop();
            });
            SaRouter.match("/brand/**", () -> StpUtil.checkRole("ROLE_ADMIN"));
        })).addPathPatterns("/**");
    }
} 复制代码

• 当用户不是被允许的角色访问时，Sa-Token会抛出NotRoleException异常，我们可以全局处理下；

/**
 * 全局异常处理
 * Created by macro on 2020/2/27.
 */ @ControllerAdvice public class GlobalExceptionHandler { /**
     * 处理没有角色的异常
     */ @ResponseBody @ExceptionHandler(value = NotRoleException.class) public CommonResult handleNotRoleException(NotRoleException e) { return CommonResult.forbidden(e.getMessage());
    }
} 复制代码

• 我们现在有两个用户，admin用户具有ROLE_ADMIN角色，macro用户具有ROLE_USER角色；

权限认证

当我们给角色分配好权限，然后给用户分配好角色后，用户就拥有了这些权限。我们可以为每个接口分配不同的权限，拥有该权限的用户就可以访问该接口。这就是权限认证，接下来我们来实现下它。

• 我们可以在Sa-Token的拦截器中配置路由规则，admin用户可以访问所有路径，而macro用户只有读取的权限，没有写、改、删的权限；

/**
 * Sa-Token相关配置
 */ @Configuration public class SaTokenConfig implements WebMvcConfigurer { @Autowired private IgnoreUrlsConfig ignoreUrlsConfig; /**
     * 注册sa-token拦截器
     */ @Override public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new SaRouteInterceptor((req, resp, handler) -> { // 获取配置文件中的白名单路径 List<String> ignoreUrls = ignoreUrlsConfig.getUrls(); // 登录认证：除白名单路径外均需要登录认证 SaRouter.match(Collections.singletonList("/**"), ignoreUrls, StpUtil::checkLogin); // 权限认证：不同接口, 校验不同权限 SaRouter.match("/brand/listAll", () -> StpUtil.checkPermission("brand:read"));
            SaRouter.match("/brand/create", () -> StpUtil.checkPermission("brand:create"));
            SaRouter.match("/brand/update/{id}", () -> StpUtil.checkPermission("brand:update"));
            SaRouter.match("/brand/delete/{id}", () -> StpUtil.checkPermission("brand:delete"));
            SaRouter.match("/brand/list", () -> StpUtil.checkPermission("brand:read"));
            SaRouter.match("/brand/{id}", () -> StpUtil.checkPermission("brand:read"));
        })).addPathPatterns("/**");
    }
} 复制代码

• 当用户无权限访问时，Sa-Token会抛出NotPermissionException异常，我们可以全局处理下；

/**
 * 全局异常处理
 * Created by macro on 2020/2/27.
 */ @ControllerAdvice public class GlobalExceptionHandler { /**
     * 处理没有权限的异常
     */ @ResponseBody @ExceptionHandler(value = NotPermissionException.class) public CommonResult handleNotPermissionException(NotPermissionException e) { return CommonResult.forbidden(e.getMessage());
    }
} 复制代码

• 使用admin账号访问/brand/delete接口可以正常访问；

总结

通过对Sa-Token的一波实践，我们可以发现它的API设计非常优雅，比起Shiro和Spring Security来说确实顺手多了。Sa-Token不仅提供了一系列强大的权限相关功能，还提供了很多标准的解决方案，比如Oauth2、分布式Session会话等，大家感兴趣的话可以研究下。

参考资料