Sa-Token 是一个轻量级 Java 权限认证框架,主要解决:登录认证
、权限认证
、Session会话
、单
点登录
、OAuth2.0
、微服务网关鉴权
等一系列权限相关问题。
首先引入pom
<!-- Sa-Token 权限认证, 在线文档:http://sa-token.dev33.cn/ -->
<dependency>
<groupId>cn.dev33</groupId>
<artifactId>sa-token-spring-boot-starter</artifactId>
<version>${sa-token-version}</version>
</dependency>
我们来一起看哈SaToken的登录认证是怎么实现的就一行代码 StpUtil.login(id);
我们从入口debugger看源码
使用stpLogic
StpLogic默认type为login
看stpLogic的构造方法
调用stplogic的login方法,传入SaLoginModal配置类
主要逻辑都在这里面我们一步步看
0.前置检查:如果此账号已被封禁.
SaTokenDao的实现类
默认实现为SaTokenDaoDefaultImpl 从dataMap中取出为key为封禁的数据,如果不为空说明被封禁
如果添加了redis支持,则查询通过key查询redis数据
1.初始化 loginModel
starter里SaTokenConfig 已经在spring ioc 过程已经设置进去了
那SaTokenConfig是怎么读取yml或properties的值
初始哈loginModal完成
2、生成一个token
判断是否允许并发登录,如果配置为共享token, 则尝试从Session签名记录里取出token,如果不允许并发登录,则将这个账号的历史登录标记为:被顶下线,仍未成功创建tokenValue, 则开始生成一个
我们具体来看一哈创建token的方法
创建的方法是放在SaStrategy里的createToken方法上
我们继续来看看SaTokenAction接口的实现类 SaTokenActionDefaultImpl
通过不同规则生产Token(默认,还是uuid )
3. 获取 User-Session , 续期
续期具体实现实际上就是在SaTokenDao实现类中
4. 持久化其它数据 token -> id 映射关系
在redis中数据为
目前有4种存储值的方法 (在 Request作用域里: 存值、取值)
看到这里我们看看这个response从哪里来
我们能看出来spring中还是通过RequestContextHolder中拿到的response
RequestContextHolder顾名思义,持有上下文的Request容器.
request和response等是什么时候设置进去的?
需要对springMVC结构的`DispatcherServlet`的结构有一定了解
1. HttpServletBean 进行初始化工作
2. FrameworkServlet 初始化 WebApplicationContext,并提供service方法预处理请
3. DispatcherServlet 具体分发处理.
那么就可以在FrameworkServlet查看到该类重写了service(),doGet(),doPost()...等方法,这些实现里面都有一个预处理方法`processRequest(request, response);`,所以定位到了我们要找的位置
查看`processRequest(request, response);`的实现,具体可以分为三步:
- 获取上一个请求的参数
- 重新建立新的参数
- 设置到XXContextHolder
- 父类的service()处理请求
- 恢复request
- 发布事
protected final void processRequest(HttpServletRequest request, HttpServletResponse response)
throws ServletException, IOException {
long startTime = System.currentTimeMillis();
Throwable failureCause = null;
//获取上一个请求保存的LocaleContext
LocaleContext previousLocaleContext = LocaleContextHolder.getLocaleContext();
//建立新的LocaleContext
LocaleContext localeContext = buildLocaleContext(request);
//获取上一个请求保存的RequestAttributes
RequestAttributes previousAttributes = RequestContextHolder.getRequestAttributes();
//建立新的RequestAttributes
ServletRequestAttributes requestAttributes = buildRequestAttributes(request,
response, previousAttributes);
WebAsyncManager asyncManager = WebAsyncUtils.getAsyncManager(request);
asyncManager.registerCallableInterceptor(FrameworkServlet.class.getName(),
new RequestBindingInterceptor());
//具体设置的方法
initContextHolders(request, localeContext, requestAttributes);
try {
doService(request, response);
}
catch (ServletException ex) {
failureCause = ex;
throw ex;
}
catch (IOException ex) {
failureCause = ex;
throw ex;
}
catch (Throwable ex) {
failureCause = ex;
throw new NestedServletException("Request processing failed", ex);
}
finally {
//恢复
resetContextHolders(request, previousLocaleContext, previousAttributes);
if (requestAttributes != null) {
requestAttributes.requestCompleted();
}
if (logger.isDebugEnabled()) {
if (failureCause != null) {
this.logger.debug("Could not complete request", failureCause);
}
else {
if (asyncManager.isConcurrentHandlingStarted()) {
logger.debug("Leaving response open for concurrent processing");
}
else {
this.logger.debug("Successfully completed request");
}
}
}
//发布事件
publishRequestHandledEvent(request, response, startTime, failureCause);
}
}
再看initContextHolders(request, localeContext, requestAttributes)方法,把新的RequestAttributes设置进LocalThread,实际上保存的类型为ServletRequestAttributes,这也是为什么在使用的时候可以把RequestAttributes强转为ServletRequestAttributes.
private void initContextHolders(HttpServletRequest request,
LocaleContext localeContext,
RequestAttributes requestAttributes) {
if (localeContext != null) {
LocaleContextHolder.setLocaleContext(localeContext,
this.threadContextInheritable);
}
if (requestAttributes != null) {
RequestContextHolder.setRequestAttributes(requestAttributes,
this.threadContextInheritable);
}
if (logger.isTraceEnabled()) {
logger.trace("Bound request context to thread: " + request);
}
}
因此RequestContextHolder里面最终保存的为ServletRequestAttributes,这个类相比RequestAttributes`方法是多了很多
好的回归正题
通知监听器,账号xxx 登录成功
回调默认监听器
返回登录成功