Sentinel 系列（八）：授权规则深度解析与实战优化

CarlowZJ

已于 2025-05-18 22:32:58 修改

阅读量467

点赞数 14

文章标签： sentinel

于 2025-05-17 21:25:00 首次发布

本文链接：https://blog.csdn.net/csdn122345/article/details/148034096

版权

摘要：在微服务架构中，授权规则是保障系统安全性的重要防线。本文深入解析 Sentinel 授权规则的原理，结合实战代码示例与优化策略，探讨其在多租户、用户权限管理等场景的应用。通过细致的注意事项分析和精美的图表辅助，助力开发者构建安全可靠的微服务访问控制体系。

一、授权规则：微服务架构中的安全守护者

（一）授权规则的核心概念

授权规则定义了谁能访问系统中的哪些资源。在微服务架构里，资源可以是某个 API 接口、服务端点等。授权规则通过设定条件（如用户身份、客户端 IP、请求携带的令牌等）来判断请求是否被允许。

（二）工作原理

当一个请求到达被 Sentinel 保护的资源时，授权规则检查器会根据预设规则评估该请求。若请求满足规则条件（如用户在白名单内），则放行；否则，拦截请求并返回授权失败提示。

二、授权规则的实现与代码示例

（一）基础代码实现

在 Spring Cloud 项目中，可以通过注解和动态规则配置实现授权规则。下面是一个基于注解的简单示例：

import com.alibaba.csp.sentinel.annotation.SentinelResource;
import com.alibaba.csp.sentinel.slots.block.BlockException;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class AuthorizedController {

    @SentinelResource(value = "authorizedApi", blockHandler = "handleBlock")
    @GetMapping("/authorized")
    public String getAuthorizedResource(@RequestParam(value = "user") String user) {
        return "Authorized resource for user: " + user;
    }

    public String handleBlock(BlockException ex) {
        return "Access denied for user";
    }
}

为了实现更灵活的动态配置，可以通过 Sentinel 控制台实时调整授权规则。以下是通过代码配置动态规则的示例：

import com.alibaba.csp.sentinel.Entry;
import com.alibaba.csp.sentinel.Slot;
import com.alibaba.csp.sentinel.slots.block.RuleConstant;
import com.alibaba.csp.sentinel.slots.block.auth.AuthorizationRule;
import com.alibaba.csp.sentinel.slots.block.auth.AuthorizationRuleManager;
import org.springframework.context.ApplicationListener;
import org.springframework.context.event.ContextRefreshedEvent;
import org.springframework.stereotype.Component;

import java.util.Collections;
import java.util.List;

@Component
public class DynamicAuthorizationConfig implements ApplicationListener<ContextRefreshedEvent> {

    @Override
    public void onApplicationEvent(ContextRefreshedEvent event) {
        setupAuthorizationRules();
    }

    private void setupAuthorizationRules() {
        AuthorizationRule rule = new AuthorizationRule();
        rule.setResource("authorizedApi");
        rule.setStrategy(RuleConstant.AUTH_WHITE_AUTHORITY);
        rule.setAuthorityList(Collections.singletonList("admin")); // 白名单用户
        List<AuthorizationRule> rules = Collections.singletonList(rule);
        AuthorizationRuleManager.loadRules(rules);
    }
}