微服务网关SpringCloudGateway+SaToken鉴权

目录

概念
前置知识回顾
拿到UserInfo 用于自定义权限和角色的获取逻辑
最后进行要进行 satoken 过滤器全局配置

---

概念

做权限认证的时候 我们首先要明确两点
我们必要的角色有几种 我们必要的权限有几种

角色 分两种
ADMIN 管理员 ：可管理商品
CUSTIOMER 普通用户 ：

权限 分四种
BASIC 根本权限 ：可欣赏商品
AUTU 已实名认证权限 ：可下单支付
FROZEN 被冻结用户权限
NONE 没有任何权限

前置知识回顾

在阅读完 sa-token 的文档后
我发现原来权限验证云云简单
我们只必要 利用StpUtil即可
这个在开辟博客的时候写过相干的

1. // 用户已存在，直接登录
2. StpUtil.login(userInfo.getUserId(), new SaLoginModel().setIsLastingCookie(loginParam.getRememberMe())
3.        .setTimeout(DEFAULT_LOGIN_SESSION_TIMEOUT));
4. // 将用户信息存入会话
5. StpUtil.getSession().set(userInfo.getUserId().toString(), userInfo);
6. // 创建登录结果对象
7. LoginVO loginVO = new LoginVO(userInfo);
8. // 返回登录成功响应
9. return Result.success(loginVO);

复制代码

拿到UserInfo 用于自定义权限和角色的获取逻辑

我们在用 StpUtil 去拿这个登录信息
进行校验
很容易明白 我们在登录模块 放入了一个 UserInfo 对象进去
包罗了用户了信息

1. package cn.hollis.nft.turbo.api.user.response.data;
3. import cn.hollis.nft.turbo.api.user.constant.UserRole;
4. import cn.hollis.nft.turbo.api.user.constant.UserStateEnum;
5. import com.github.houbb.sensitive.annotation.strategy.SensitiveStrategyPhone;
6. import lombok.Getter;
7. import lombok.NoArgsConstructor;
8. import lombok.Setter;
10. import java.util.Date;
12. /**
13. * @author Hollis
14. */
15. @Getter
16. @Setter
17. @NoArgsConstructor
18. public class UserInfo extends BasicUserInfo {
20.     private static final long serialVersionUID = 1L;
22.     /**
23.      * 手机号
24.      */
25.     @SensitiveStrategyPhone
26.     private String telephone;
28.     /**
29.      * 状态
30.      *
31.      * @see UserStateEnum
32.      */
33.     private String state;
35.     /**
36.      * 区块链地址
37.      */
38.     private String blockChainUrl;
40.     /**
41.      * 区块链平台
42.      */
43.     private String blockChainPlatform;
45.     /**
46.      * 实名认证
47.      */
48.     private Boolean certification;
50.     /**
51.      * 用户角色
52.      */
53.     private UserRole userRole;
55.     /**
56.      * 邀请码
57.      */
58.     private String inviteCode;
60.     /**
61.      * 注册时间
62.      */
63.     private Date createTime;
65.     public boolean userCanBuy() {
67.         if (this.getUserRole() != null && !this.getUserRole().equals(UserRole.CUSTOMER)) {
68.             return false;
69.         }
70.         // 判断买家状态
71.         if (this.getState() != null && !this.getState().equals(UserStateEnum.ACTIVE.name())) {
72.             return false;
73.         }
74.         // 判断买家状态
75.         if (this.getState() != null && !this.getCertification()) {
76.             return false;
77.         }
78.         return true;
79.     }
80. }

复制代码

我们sa-token 提供的接口中重写权限校验方法
实现stpInterface 调用处理这个接口方法
我们就是再把这个对象拿出来

1. // 根据用户登录ID和登录类型返回不同的权限列表
2. UserInfo userInfo = (UserInfo) StpUtil.getSessionByLoginId(loginId).get((String) loginId);

复制代码

然后找到权限 返回摆列值
摆列值要包装成 list 类型
这边返回的是List类型

这些文档里都有...

1. package cn.hollis.nft.turbo.gateway.auth;
3. import cn.dev33.satoken.stp.StpInterface;
4. import cn.dev33.satoken.stp.StpUtil;
5. import cn.hollis.nft.turbo.api.user.constant.UserPermission;
6. import cn.hollis.nft.turbo.api.user.constant.UserRole;
7. import cn.hollis.nft.turbo.api.user.constant.UserStateEnum;
8. import cn.hollis.nft.turbo.api.user.response.data.UserInfo;
9. import org.springframework.stereotype.Component;
11. import java.util.List;
13. /**
14. * 自定义权限验证接口实现类
15. * StpInterface 接口用于自定义权限和角色的获取逻辑。
16. * StpInterfaceImpl 类实现了 StpInterface 接口，通过用户的会话信息动态获取用户的权限和角色列表。
17. * 在 Sa - Token 框架进行权限验证时，会调用该类的方法来确定用户是否具备相应的权限和角色。
18. * 注意：这边通过用户会话信息动态获取用户权限和角色列表
19. *
20. * @author Hollis
21. */
22. @Component
23. public class StpInterfaceImpl implements StpInterface {
25.     /**
26.      * 根据用户的登录 ID 和登录类型获取用户的权限列表
27.      *
28.      * @param loginId  用户的登录 ID
29.      * @param loginType 用户的登录类型
30.      * @return 用户的权限列表，以字符串集合形式返回
31.      */
32.     @Override
33.     public List<String> getPermissionList(Object loginId, String loginType) {
34.         // 从会话中根据登录 ID 获取用户信息
35.         UserInfo userInfo = (UserInfo) StpUtil.getSessionByLoginId(loginId).get((String) loginId);
37.         // 如果用户角色是管理员，或者用户状态为激活状态、已认证状态
38.         if (userInfo.getUserRole() == UserRole.ADMIN
39.                 || userInfo.getState().equals(UserStateEnum.ACTIVE.name())
40.                 || userInfo.getState().equals(UserStateEnum.AUTH.name()) ) {
41.             // 赋予用户基础权限和认证权限
42.             return List.of(UserPermission.BASIC.name(), UserPermission.AUTH.name());
43.         }
45.         // 如果用户状态为初始状态
46.         if (userInfo.getState().equals(UserStateEnum.INIT.name())) {
47.             // 赋予用户基础权限
48.             return List.of(UserPermission.BASIC.name());
49.         }
51.         // 如果用户状态为冻结状态
52.         if (userInfo.getState().equals(UserStateEnum.FROZEN.name())) {
53.             // 赋予用户冻结权限
54.             return List.of(UserPermission.FROZEN.name());
55.         }
57.         // 其他情况，赋予用户无权限
58.         return List.of(UserPermission.NONE.name());
59.     }
61.     /**
62.      * 根据用户的登录 ID 和登录类型获取用户的角色列表
63.      *
64.      * @param loginId  用户的登录 ID
65.      * @param loginType 用户的登录类型
66.      * @return 用户的角色列表，以字符串集合形式返回
67.      */
68.     @Override
69.     public List<String> getRoleList(Object loginId, String loginType) {
70.         // 从会话中根据登录 ID 获取用户信息
71.         UserInfo userInfo = (UserInfo) StpUtil.getSessionByLoginId(loginId).get((String) loginId);
72.         // 如果用户角色是管理员
73.         if (userInfo.getUserRole() == UserRole.ADMIN) {
74.             // 返回管理员角色
75.             return List.of(UserRole.ADMIN.name());
76.         }
77.         // 其他情况，返回普通用户角色
78.         return List.of(UserRole.CUSTOMER.name());
79.     }
80. }

复制代码

最后进行要进行 satoken 过滤器全局配置

SaReactorFilter

1. package cn.hollis.nft.turbo.gateway.auth;
3. import cn.dev33.satoken.exception.NotLoginException;
4. import cn.dev33.satoken.exception.NotPermissionException;
5. import cn.dev33.satoken.exception.NotRoleException;
6. import cn.dev33.satoken.reactor.filter.SaReactorFilter;
7. import cn.dev33.satoken.router.SaRouter;
8. import cn.dev33.satoken.stp.StpUtil;
9. import cn.dev33.satoken.util.SaResult;
10. import cn.hollis.nft.turbo.api.user.constant.UserPermission;
11. import cn.hollis.nft.turbo.api.user.constant.UserRole;
12. import lombok.extern.slf4j.Slf4j;
13. import org.springframework.context.annotation.Bean;
14. import org.springframework.context.annotation.Configuration;
16. /**
17. * sa-token的全局配置类，用于配置鉴权过滤器和异常处理逻辑
18. *
19. * @author Hollis
20. */
21. @Configuration
22. @Slf4j
23. public class SaTokenConfigure {
25.     /**
26.      * 创建并配置 SaReactorFilter 实例，该过滤器用于对请求进行鉴权和异常处理
27.      *
28.      * @return 配置好的 SaReactorFilter 实例
29.      */
30.     @Bean
31.     public SaReactorFilter getSaReactorFilter() {
32.         return new SaReactorFilter()
33.                 // 配置需要拦截的请求地址，/** 表示拦截所有请求
34.                 .addInclude("/**")
35.                 // 配置不需要拦截的请求地址，这里排除了网站图标请求
36.                 .addExclude("/favicon.ico")
37.                 // 设置鉴权方法，每次请求进入时会执行该方法进行鉴权
38.                 .setAuth(obj -> {
39.                     // 登录校验：拦截所有路由，但排除指定的开放路由，对其他请求进行登录状态检查
40.                     SaRouter.match("/**").notMatch("/auth/**", "/collection/collectionList", "/collection/collectionInfo", "/wxPay/**").check(r -> StpUtil.checkLogin());
41.                     // 权限认证：针对不同模块的请求，校验不同的权限
42.                     // 管理界面请求需要用户具备管理员角色
43.                     SaRouter.match("/admin/**", r -> StpUtil.checkRole(UserRole.ADMIN.name()));
44.                     // 下单界面请求需要用户具备实名认证权限
45.                     SaRouter.match("/trade/**", r -> StpUtil.checkPermission(UserPermission.AUTH.name()));
46.                     // 用户界面请求需要用户具备基本权限或冻结权限
47.                     SaRouter.match("/user/**", r -> StpUtil.checkPermissionOr(UserPermission.BASIC.name(), UserPermission.FROZEN.name()));
48.                     // 商品界面请求需要用户具备基本权限或冻结权限
49.                     SaRouter.match("/order/**", r -> StpUtil.checkPermissionOr(UserPermission.BASIC.name(),UserPermission.FROZEN.name()));
50.                 })
51.                 // 设置异常处理方法，当鉴权方法抛出异常时会进入该方法进行处理
52.                 .setError(this::getSaResult);
53.     }
55.     /**
56.      * 根据不同的异常类型，返回相应的错误信息
57.      *
58.      * @param throwable 捕获到的异常对象
59.      * @return 封装了错误信息的 SaResult 对象
60.      */
61.     private SaResult getSaResult(Throwable throwable) {
62.         switch (throwable) {
63.             // 处理用户未登录异常
64.             case NotLoginException notLoginException:
65.                 // 记录错误日志
66.                 log.error("请先登录");
67.                 // 返回未登录的错误信息
68.                 return SaResult.error("请先登录");
69.             // 处理用户角色不匹配异常
70.             case NotRoleException notRoleException:
71.                 // 判断是否是管理员角色权限问题
72.                 if (UserRole.ADMIN.name().equals(notRoleException.getRole())) {
73.                     // 记录越权使用的错误日志
74.                     log.error("请勿越权使用！");
75.                     // 返回越权使用的错误信息
76.                     return SaResult.error("请勿越权使用！");
77.                 }
78.                 // 记录无权限操作的错误日志
79.                 log.error("您无权限进行此操作！");
80.                 // 返回无权限操作的错误信息
81.                 return SaResult.error("您无权限进行此操作！");
82.             // 处理用户权限不足异常
83.             case NotPermissionException notPermissionException:
84.                 // 判断是否是实名认证权限问题
85.                 if (UserPermission.AUTH.name().equals(notPermissionException.getPermission())) {
86.                     // 记录需要实名认证的错误日志
87.                     log.error("请先完成实名认证！");
88.                     // 返回需要实名认证的错误信息
89.                     return SaResult.error("请先完成实名认证！");
90.                 }
91.                 // 记录无权限操作的错误日志
92.                 log.error("您无权限进行此操作！");
93.                 // 返回无权限操作的错误信息
94.                 return SaResult.error("您无权限进行此操作！");
95.             // 处理其他未知异常
96.             default:
97.                 // 返回异常的错误信息
98.                 return SaResult.error(throwable.getMessage());
99.         }
100.     }
101. }

复制代码

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。

继续阅读请点击广告