从0开始学YC-Framework之鉴权

一、YC-Framework鉴权是基于哪一个开源框架做的？

YC-Framework鉴权主要基于Dromara开源社区组织下的Sa-Token。

1.什么是Sa-Token？

Sa-Token是一个轻量级Java权限认证框架，主要解决：登录认证、权限认证、Session会话、单点登录、OAuth2.0、微服务网关鉴权等一系列权限相关问题。

2.Sa-Token目前具有哪些功能？

• 登录认证 —— 单端登录、多端登录、同端互斥登录、七天内免登录。
• 权限认证 —— 权限认证、角色认证、会话二级认证。
• Session会话 —— 全端共享Session、单端独享Session、自定义Session。
• 踢人下线 —— 根据账号id踢人下线、根据Token值踢人下线。
• 账号封禁 —— 指定天数封禁、永久封禁、设定解封时间。
• 持久层扩展 —— 可集成Redis、Memcached等专业缓存中间件，重启数据不丢失。
• 分布式会话 —— 提供jwt集成、共享数据中心两种分布式会话方案。
• 微服务网关鉴权 —— 适配Gateway、ShenYu、Zuul等常见网关的路由拦截认证。
• 单点登录 —— 内置三种单点登录模式：无论是否跨域、是否共享Redis，都可以搞定。
• OAuth2.0认证 —— 基于RFC-6749标准编写，OAuth2.0标准流程的授权认证，支持openid模式。
• 二级认证 —— 在已登录的基础上再次认证，保证安全性。
• Basic认证 —— 一行代码接入 Http Basic 认证。
• 独立Redis —— 将权限缓存与业务缓存分离。
• 临时Token验证 —— 解决短时间的Token授权问题。
• 模拟他人账号 —— 实时操作任意用户状态数据。
• 临时身份切换 —— 将会话身份临时切换为其它账号。
• 前后台分离 —— APP、小程序等不支持Cookie的终端。
• 同端互斥登录 —— 像QQ一样手机电脑同时在线，但是两个手机上互斥登录。
• 多账号认证体系 —— 比如一个商城项目的user表和admin表分开鉴权。
• 花式token生成 —— 内置六种Token风格，还可：自定义Token生成策略、自定义Token前缀。
• 注解式鉴权 —— 优雅的将鉴权与业务代码分离。
• 路由拦截式鉴权 —— 根据路由拦截鉴权，可适配restful模式。
• 自动续签 —— 提供两种Token过期策略，灵活搭配使用，还可自动续签。
• 会话治理 —— 提供方便灵活的会话查询接口。
• 记住我模式 —— 适配[记住我]模式，重启浏览器免验证。
• 密码加密 —— 提供密码加密模块，可快速MD5、SHA1、SHA256、AES、RSA加密。
• 全局侦听器 —— 在用户登陆、注销、被踢下线等关键性操作时进行一些AOP操作。
• 开箱即用 —— 提供SpringMVC、WebFlux等常见web框架starter集成包，真正的开箱即用。

3.为什么要选择Sa-Token?

我在从单体架构到分布式微服务架构的思考这篇文章中所强调技术选型的八点如业务相关性、框架流行度、学习曲线、文档丰富程度、社区支持、单元测试、可扩展性、许可证等。Sa-Token均满足。

4.Sa-Token的相关资料有哪些？

Sa-Token官方文档：
https://sa-token.dev33.cn/doc/#/

Sa-Token Github源代码：
https://github.com/dromara/sa-token

Sa-Token Gitee源代码：
https://gitee.com/dromara/sa-token

基本上结合自己的业务需求，整体过一遍Sa-Token官方文档，就能学会如何使用Sa-Token。

开源不易，如果Sa-Token对你帮助，不妨点个star鼓励一下对应的开源小伙伴们！！！

二、如何运行YC-Framework相关的鉴权服务？

主要步骤如下：

• 1.启动Nacos。
• 2.启动网关服务(yc-gateway)。
• 3.启动认证服务(yc-auth)。
• 4.启动后台管理服务(yc-admin)。

启动完毕以后，通过浏览器访问本地地址:
http://localhost:8080/doc.html

可以看到如下效果：

接下来点击认证管理会出现如下列表，找到登录接口，输入对应的信息，如下所示，就表示登录成功:

三、YC-Framework中的鉴权模块的核心代码包含哪些？

YC-Framework中的鉴权模块叫yc-common-security，属于yc-common模块下的子模块。如图所示:

其中核心类叫SaTokenConfigure.java，代码如下:

@Configuration
@Slf4j
public class SaTokenConfigure implements WebMvcConfigurer, StpInterface {

    @Autowired
    private UserApi userApi;

    /**
     * 注册拦截器
     */
    @Override
    public void addInterceptors(InterceptorRegistry registry) {

        // 注册路由拦截器，自定义验证规则
        registry.addInterceptor(new SaRouteInterceptor((request, response, handler) -> {
            //登录认证
            SaRouter.match("/**", () -> StpUtil.checkLogin());
            // 角色认证 -- 拦截以 admin 开头的路由，必须具备 admin 角色或者 super-admin 角色才可以通过认证
            SaRouter.match("/company/**", () -> StpUtil.checkRoleOr("admin", "super-admin"));
            //权限认证
            SaRouter.match("/company/**", () -> StpUtil.checkPermission("company"));
            SaRouter.match("/user/**", () -> StpUtil.checkPermission("admin"));
            SaRouter.match("/role/**", () -> StpUtil.checkPermission("admin"));

        })).addPathPatterns("/**").excludePathPatterns(
                "/auth/**", "/doc.html", "/webjars/**", "/swagger-resources", "/actuator/**");
    }

    @Override
    public List<String> getPermissionList(Object loginId, String loginType) {
        log.info("loginId:" + loginId + "||" + loginType);
        List<String> permList = new ArrayList<>();
        UserIdReqDTO permReq = new UserIdReqDTO();
        permReq.setUserId(handleUserId(loginId.toString()));
        RespBody<List<String>> resultBody = userApi.getPerm(permReq);
        if (RespCode.SELECT_SUCCESS.getCode().equals(resultBody.getCode())) {
            permList = resultBody.getData();
        }
        return permList;
    }

    @Override
    public List<String> getRoleList(Object loginId, String loginType) {
        log.info("loginId:" + loginId + "||" + loginType);
        List<String> roleList = new ArrayList<>();
        UserIdReqDTO permReq = new UserIdReqDTO();
        permReq.setUserId(handleUserId(loginId.toString()));
        RespBody<List<String>> resultBody = userApi.getRole(permReq);
        if (RespCode.SELECT_SUCCESS.getCode().equals(resultBody.getCode())) {
            roleList = resultBody.getData();
        }
        return roleList;
    }

    /**
     * 处理用户ID
     *
     * @param userId
     * @return
     */
    private String handleUserId(String userId) {
        return userId.substring(userId.lastIndexOf(ApplicationConst.DEFAULT_FLAG) + 1).replace(ApplicationConst.DEFAULT_FLAG, ApplicationConst.NULL_STR);
    }
}

该代码存放目录为:
https://github.com/developers-youcong/yc-framework/tree/main/yc-common/yc-common-security

不难看出基于拦截器相关。之前写过一篇叫Java Web之三大利器的文章，所谓Java Web 三大利器指的是拦截器、过滤器、监听器等。其中拦截器与过滤器在权限认证相关用的比较多。

之前还写过关于重构某网API服务的文章可供读者朋友参考，这篇文章是基于公司系统权限重构的背景，在此我提供了两种方法，一种是基于原生的拦截器，另外一方面是基于Sa-Token。

四、YC-Framework为何将权限模块化？

一方面符合YC-Framework的架构思想之一模块化；另外一方面在于按需引入，哪一个微服务需要，只需引入对应的依赖即可。如下所示：

<dependency>
    <groupId>com.yc.framework</groupId>
    <artifactId>yc-common-security</artifactId>
</dependency>