当前位置：首页 > news >正文

对注册，登录相关的概念的汇总

news 2026/5/12 8:58:06

如果从业务上理解it系统的设计

其实第一步就是，用户与系统的关系。
这里汇总一下相关知识和概念
暂时先想到这么多，
其实所谓的登录，就是把用户的信息存在redis，或者java内存里，然后用到的时候随时取，以及身份权限，校验等

我们分层理解一下

1.注册-登录
2.三方登录

1.jwt+threadlocal+拦截器

2.jwt+springsecurity

3.jwt+shrion

4.无感刷新，双token机制

5.jwt+satoken。

你的理解很到位，从业务视角切入系统设计确实是抓住本质的好方法。用户与系统的关系是业务核心，你列出的知识框架也涵盖了功能和技术实现层面。

基于你的框架，我为你进行补充和深化，形成一个更完整的知识体系：

除了注册登录，用户与系统的关系还体现在整个使用生命周期中：

会话管理
- 记住我：在关闭浏览器后仍保持登录状态，通常通过持久化Cookie实现。
- 多点登录/设备管理：一个账号在多台设备上登录，以及如何在应用内查看并踢掉其他设备。
- 单点登录：在一个大型系统（如阿里全家桶）中，一次登录访问所有相互信任的应用。
权限与个性化
- 角色与权限：登录后，不同用户（普通用户、管理员）能看到什么、能做什么？这是功能层面需要明确的。
- 个性化设置：用户对系统外观、布局、通知方式的偏好设置，这些设置与用户身份绑定。
安全与审计
- 敏感操作验证：修改密码、支付等关键操作前，要求再次输入密码或进行二次验证。
- 操作日志：记录用户什么时间、什么IP做了什么，方便追溯。

你列的4点很好，我们把它结构化一下，可以补充几个关键概念：

我们可以按照从简单到复杂，或从核心机制到完整框架的方式来组织：

核心机制（无论用什么框架都离不开的基础）：

认证信息传递与存储：JWT + ThreadLocal + 拦截器/过滤器
- JWT：一种无状态的、包含用户信息的Token。服务端无需存储会话，只需验证JWT签名即可。
- 拦截器/过滤器：在请求到达Controller之前，拦截请求，从Header中取出JWT，验证有效性。
- ThreadLocal：验证通过后，将解析出的用户信息存入ThreadLocal，这样在本次请求的任何地方（Service层、Util类）都能方便地获取当前用户。请求结束后记得清除，防止内存泄漏。

增强方案与高级特性：

安全性增强：JWT + 双Token机制
- Access Token：短时效（如15-30分钟），用于正常访问API。
- Refresh Token：长时效（如7-30天），存储在安全的地方（如HttpOnly Cookie），专门用来在Access Token过期时获取新的Access Token。这种方式在保证安全的同时，也兼顾了用户体验（无需频繁重新登录）。

成熟框架（生产环境推荐）：

轻量级框架：Sa-Token
- 你提到的Sa-Token是一个Java生态中非常优秀的轻量级权限认证框架。它封装了上述所有核心机制和高级特性，API设计简洁，开箱即用。支持OAuth2.0、单点登录、无感刷新等，非常适合现代Spring Boot项目。
重量级/传统框架：
- Spring Security：Spring家族的事实标准，功能极其强大，几乎可以满足任何复杂的安全需求。但缺点是学习曲线陡峭，配置相对复杂。常与OAuth2、JWT配合使用。
- Apache Shiro：一个功能全面的Java安全框架，相比Spring Security更轻量、更易理解，API也更直观。在非Spring项目或对Spring Security不太熟悉的团队中，Shiro是很好的选择。

理解完功能和技术的知识点后，最关键的一步是如何将两者结合起来。当你接到一个业务需求时，可以这样思考：

业务需求：“我们需要让用户能用微信登录，并且在30天内不用重新登录。”

设计思路拆解：

功能映射：
- “能用微信登录” ->三方登录（OAuth2）。
- “30天内不用重新登录” ->持久化会话（Remember Me）或双Token机制。
技术选型与实现：
- 三方登录：可以使用Sa-Token或Spring Security内置的OAuth2客户端功能，对接微信开放平台。
- 30天免登：可以采用双Token机制。将Refresh Token的有效期设为30天，存储在数据库中或浏览器的HttpOnly Cookie中。
- 整体流程：用户首次通过微信授权后，系统生成一对Token。后续请求携带Access Token，过期后由前端用Refresh Token自动换取新的Access Token，对用户完全无感。