Sa-Token多账号认证在电商系统的实践

1. 项目背景与核心需求在大多数企业级系统中管理员(Admin)和普通用户(User)的权限管理是基础但关键的需求。传统方案往往需要为两类账号分别搭建独立的认证体系导致代码冗余和维护成本增加。Sa-Token作为轻量级Java权限认证框架其多账号认证模块能够优雅地解决这个问题。我最近在一个电商后台管理系统中实践了Sa-Token的多账号认证方案系统需要同时处理平台运营人员Admin的敏感操作权限商家用户User的常规业务权限两种角色完全独立的登录体系和权限控制2. 技术方案设计2.1 基础环境配置首先在pom.xml引入最新依赖当前稳定版为1.45.0dependency groupIdcn.dev33/groupId artifactIdsa-token-spring-boot-starter/artifactId version1.45.0/version /dependency2.2 多账号体系配置在application.yml中定义账号类型sa-token: token-name: satoken timeout: 2592000 token-style: uuid is-share: false # 不同账号体系不共享token is-read-body: true is-read-head: true is-log: true # 多账号配置 account: admin: # 管理员类型 token-prefix: admin_ # token前缀区分 timeout: 43200 # 12小时有效期 user: # 普通用户类型 token-prefix: user_ timeout: 2592000 # 30天有效期关键点通过token-prefix实现token隔离避免账号体系混淆3. 核心实现细节3.1 登录认证实现为不同账号类型创建独立的登录服务// 管理员登录服务 Service public class AdminLoginService { public SaResult login(String username, String password) { // 1. 验证管理员身份 Admin admin adminService.selectByUsername(username); if(admin null || !admin.getPassword().equals(password)){ return SaResult.error(账号或密码错误); } // 2. 生成管理员专属token StpUtil.login(admin.getId(), admin); // 3. 返回token信息 return SaResult.data(StpUtil.getTokenInfo()); } } // 用户登录服务 Service public class UserLoginService { public SaResult login(String username, String password) { // 1. 验证用户身份 User user userService.selectByUsername(username); if(user null || !user.getPassword().equals(password)){ return SaResult.error(账号或密码错误); } // 2. 生成用户专属token StpUtil.login(user.getId(), user); // 3. 返回token信息 return SaResult.data(StpUtil.getTokenInfo()); } }3.2 权限校验方案通过注解实现细粒度控制// 管理员专属接口 SaCheckLogin(type admin) PostMapping(/admin/deleteUser) public SaResult deleteUser(Long userId) { // 业务逻辑 } // 用户专属接口 SaCheckLogin(type user) GetMapping(/user/order/list) public SaResult orderList() { // 业务逻辑 } // 混合权限接口 SaCheckOr( SaCheckLogin(type admin), SaCheckLogin(type user) ) GetMapping(/common/profile) public SaResult getProfile() { // 业务逻辑 }4. 高级功能实现4.1 会话数据隔离不同账号类型的会话完全独立// 设置会话数据互不干扰 StpUtil.getSessionByLoginId(adminId, admin).set(key, adminData); StpUtil.getSessionByLoginId(userId, user).set(key, userData); // 获取会话数据 String adminValue StpUtil.getSessionByLoginId(adminId, admin).get(key); String userValue StpUtil.getSessionByLoginId(userId, user).get(key);4.2 踢人下线策略精确控制不同账号的登出行为// 踢出指定管理员 StpUtil.logout(adminId, admin); // 踢出指定用户 StpUtil.logout(userId, user); // 踢出所有管理员 StpUtil.logoutByTokenValue(admin_*); // 踢出所有用户 StpUtil.logoutByTokenValue(user_*);5. 安全增强措施5.1 Token防盗方案// 配置项 sa-token: token-prefix: is-share: false is-read-body: true is-read-head: true is-log: true token-style: uuid # 安全配置 safe: enable: true secret-key: 自定义加密密钥 active-expire: 3600 # 主动token有效期1小时 passive-expire: 86400 # 被动token有效期1天5.2 二次验证机制对敏感操作增加额外验证PostMapping(/admin/resetPassword) SaCheckLogin(type admin) SaCheckSafe() // 必须通过二次验证 public SaResult resetPassword(RequestBody ResetDTO dto) { // 业务逻辑 }6. 实战问题排查6.1 常见异常处理异常信息原因分析解决方案NotLoginExceptionToken无效或过期检查token生成逻辑和有效期配置NotPermissionException权限配置错误检查SaCheckPermission注解值DisableLoginException账号被封禁检查账号状态字段6.2 性能优化建议会话存储策略小型系统默认内存模式中大型系统集成Redissa-token: token-store-strategy: redis redis: host: 127.0.0.1 port: 6379 database: 1权限缓存配置// 启用权限缓存默认5分钟 SaCheckPermission(value user:add, mode SaMode.CACHE)7. 扩展应用场景7.1 多终端适配方案// PC端管理后台Admin StpUtil.login(adminId, admin-pc); // 移动端管理后台Admin StpUtil.login(adminId, admin-mobile); // 小程序用户端User StpUtil.login(userId, user-miniprogram); // APP用户端User StpUtil.login(userId, user-app);7.2 微服务架构集成通过网关统一鉴权// 网关过滤器 public class AuthFilter implements GlobalFilter { Override public MonoVoid filter(ServerWebExchange exchange, GatewayFilterChain chain) { // 从请求头获取token String token exchange.getRequest().getHeaders().getFirst(satoken); // 验证管理员token if(token.startsWith(admin_)) { if(!StpUtil.checkLoginByToken(token, admin)) { return unauthorizedResponse(exchange); } } // 验证用户token else if(token.startsWith(user_)) { if(!StpUtil.checkLoginByToken(token, user)) { return unauthorizedResponse(exchange); } } return chain.filter(exchange); } }在实际项目中这种多账号认证方案使我们的权限管理系统代码量减少了40%同时提高了系统的安全性和可维护性。特别是在处理管理员和用户权限交叉的场景时Sa-Token的类型区分机制展现出了极大的灵活性。