微服务鉴权实践：Sa-Token在分布式系统中的应用
1. 微服务架构下的鉴权挑战与Sa-Token的定位
在分布式系统中，每个微服务都需要独立的鉴权逻辑，这会导致代码重复和维护困难。传统方案如Spring Security配置复杂，Shiro在分布式场景下扩展性不足。Sa-Token作为轻量级Java权限框架，其微服务鉴权模块提供了开箱即用的解决方案。
以电商系统为例，当用户访问订单服务时，网关需要验证Token有效性，而订单服务与库存服务间的RPC调用也需要鉴权。Sa-Token通过统一的Token管理机制，实现了：
- 网关层统一拦截非法请求
- 服务间调用自动传递身份上下文
- 细粒度的权限控制（如@SaCheckPermission("order:query")）
关键优势：相比自研鉴权体系，Sa-Token减少了约70%的鉴权相关代码量，且内置防重放攻击、Token自动续期等企业级特性。
2. 环境搭建与基础配置
2.1 依赖引入
在网关和服务模块的pom.xml中添加：
<!-- 网关模块 --> <dependency> <groupId>cn.dev33</groupId> <artifactId>sa-token-reactor-spring-boot-starter</artifactId> <version>1.45.0</version> </dependency> <!-- 业务服务模块 --> <dependency> <groupId>cn.dev33</groupId> <artifactId>sa-token-spring-boot-starter</artifactId> <version>1.45.0</version> </dependency>2.2 核心配置
application.yml示例：
sa-token: token-name: satoken # HTTP头部传递的Token名称 timeout: 86400 # Token有效期(秒) active-timeout: -1 # 无操作续期时间(-1不续期) token-style: uuid # Token生成策略 is-share: true # 共享同一账号不同端登录 is-read-body: true # 允许从请求体读取Token2.3 网关过滤器配置
Spring Cloud Gateway的全局过滤器示例：
@Bean public SaReactorFilter saReactorFilter() { return new SaReactorFilter() .addInclude("/**") .addExclude("/auth/login") .setAuth(obj -> { // 路由匹配式鉴权 SaRouter.match("/order/**", () -> StpUtil.checkPermission("order")); SaRouter.match("/admin/**", () -> StpUtil.checkRole("admin")); }) .setError(e -> { return SaResult.error(e.getMessage()); }); }3. 微服务鉴权深度实践
3.1 服务间调用鉴权
在Feign调用场景下，需自动传递Token：
@Configuration public class FeignConfig { @Bean public RequestInterceptor saTokenInterceptor() { return template -> { template.header("satoken", StpUtil.getTokenValue()); }; } }RPC调用鉴权验证：
@SaCheckRole("inventory_manager") @PostMapping("/stock/reduce") public Result reduceStock(@RequestBody StockDTO dto) { // 库存扣减逻辑 }3.2 分布式会话管理
配置Redis作为会话存储：
spring: redis: host: 127.0.0.1 port: 6379 database: 1 # 建议与业务缓存隔离 sa-token: is-share: true is-read-body: true token-prefix: "satoken:" # Redis键前缀3.3 灰度发布场景处理
当新老版本鉴权逻辑共存时：
// 版本兼容过滤器 registry.addInterceptor(new SaInterceptor(handler -> { // V1接口保持旧鉴权方式 SaRouter.match("/v1/**", () -> { if(StpUtil.getLoginIdDefaultNull() == null) { throw new ApiException("请升级客户端版本"); } }); // V2接口使用新鉴权 SaRouter.match("/v2/**", () -> StpUtil.checkLogin()); }));4. 生产环境最佳实践
4.1 性能优化方案
- Token存储策略：对于高频访问接口，可启用本地缓存
@Bean public SaTokenDao saTokenDao() { return new SaTokenDaoRedisJackson() { @Override public String get(String key) { // 本地缓存+Redis二级缓存 String value = LocalCache.get(key); if(value == null) { value = super.get(key); LocalCache.put(key, value); } return value; } }; }4.2 安全加固措施
- 防Token盗用：
sa-token: token-suffix: "device_fingerprint" # 绑定设备指纹- 敏感操作二次认证：
@SaCheckSafe("order:delete") // 需要输入二级密码 @DeleteMapping("/order/{id}") public Result deleteOrder(@PathVariable Long id) { // 删除逻辑 }4.3 监控与运维
集成Prometheus监控指标：
@Bean public SaTokenMetrics saTokenMetrics() { return new SaTokenMetrics() .setCheckLoginTotal(Metrics.counter("satoken.login.checks")) .setCheckPermissionTotal(Metrics.counter("satoken.permission.checks")); }5. 典型问题排查指南
5.1 跨域问题处理
当出现403跨域错误时：
@Bean public SaServletFilter saServletFilter() { return new SaServletFilter() .addInclude("/**") .setBeforeAuth(obj -> { // 处理跨域 SaHolder.getResponse() .setHeader("Access-Control-Allow-Origin", "*") .setHeader("Access-Control-Allow-Methods", "*") .setHeader("Access-Control-Allow-Headers", "*"); }); }5.2 Token失效异常
常见原因及解决方案：
- Redis连接超时 - 检查连接池配置
- 时钟不同步 - 部署NTP服务
- 多端登录冲突 - 调整is-share配置
5.3 鉴权服务高可用
推荐架构：
+-----------------+ | Nginx LB | +--------+--------+ | +----------v----------+ | 鉴权服务集群 | | (无状态部署) | +----------+----------+ | +----------v----------+ | Redis Sentinel | | (持久化会话数据) | +---------------------+6. 进阶场景扩展
6.1 多租户支持
// 租户上下文拦截器 public class TenantInterceptor implements HandlerInterceptor { @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) { String tenantId = request.getHeader("X-Tenant-Id"); SaHolder.getStorage().set("tenantId", tenantId); return true; } } // 在鉴权时加入租户条件 @SaCheckPermission(value="user:add", orRole="admin", extra = "getTenantId() == #user.tenantId") public void addUser(User user) { // 业务逻辑 }6.2 物联网设备鉴权
针对非浏览器终端：
// 设备Token生成 String deviceToken = SaFoxUtil.getRandomString(64); StpUtil.login(deviceId, new SaLoginConfig() .setDevice("iot") .setToken(deviceToken)); // 设备鉴权过滤器 SaRouter.match("/iot/**", () -> { if(!"iot".equals(StpUtil.getLoginDevice())) { throw new ApiException("仅限设备访问"); } });6.3 与Spring Cloud Gateway深度集成
自定义负载均衡策略：
@Bean public SaLoadBalanceFilter saLoadBalanceFilter() { return new SaLoadBalanceFilter() .setRule(server -> { // 根据Token中的版本信息路由 String appVersion = StpUtil.getExtra("app-version"); return appVersion.compareTo("2.0") >= 0 ? "service-v2" : "service-v1"; }); }在微服务架构演进过程中，鉴权体系的建设往往需要随着业务发展不断调整。Sa-Token提供的不仅是技术实现，更重要的是一套灵活的权限治理理念。根据我们的实践经验，建议每半年进行一次鉴权策略评审，重点关注：
- 新增业务线的权限模型适配
- 安全漏洞的及时修复
- 性能瓶颈的优化突破
- 监控体系的完善程度