详解Spring Security+OAuth2.0 和 sa-token

最新推荐文章于 2026-07-16 14:54:01 发布

原创最新推荐文章于 2026-07-16 14:54:01 发布 · 986 阅读

本内容遵循CC 4.0 BY-SA版权协议

Spring Security+OAuth2.0 和 sa-token 是 Java 领域处理认证授权的两种主流方案，分别代表了 “重量级全功能框架” 和 “轻量级实用工具” 两种设计思路。以下从核心定位、架构设计、功能特性、适用场景等方面详细对比：

一、核心定位与设计理念

1. Spring Security + OAuth2.0

定位：Spring 生态的 “安全基础设施”，是一套完整的企业级安全解决方案，支持认证、授权、防攻击等全链路安全控制。
设计理念：“大而全”，通过高度可扩展的架构，满足复杂场景的安全需求，强调规范性和安全性。
关系：Spring Security 是基础安全框架，OAuth2.0 是授权协议，两者结合可实现第三方登录、分布式系统授权等高级场景。

2. sa-token

定位：轻量级 Java 权限认证框架，专注于 “快速解决开发中的认证授权问题”。
设计理念：“小而美”，以 “简单易用” 为核心，通过极简 API 降低安全功能的开发成本，强调实用性和开发效率。
特点：不依赖 Spring 生态（但可无缝集成），开箱即用，无需复杂配置。

二、核心架构与实现方式

1. Spring Security + OAuth2.0

核心架构：基于 “过滤器链（Filter Chain）” 设计，通过一系列过滤器拦截请求，完成认证、授权、csrf 防护等操作。
- 认证流程：用户名密码提交 → UsernamePasswordAuthenticationFilter 拦截 → 调用 AuthenticationManager 认证 → 生成 Authentication 对象 → 存入 SecurityContext。
- OAuth2.0 集成：需定义授权服务器（Authorization Server）、资源服务器（Resource Server），实现授权码、密码等 4 种授权模式。
关键组件：
- Authentication：封装用户身份信息（如用户名、权限）。
- UserDetailsService：加载用户信息（对接数据库）。
- GrantedAuthority：表示用户权限（如 ROLE_ADMIN）。
- OAuth2AuthorizedClientService：管理 OAuth2 授权客户端。
配置示例（简化）：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasRole("USER")
                .anyRequest().authenticated()
            .and()
            .formLogin(); // 开启表单登录
    }
}

2. sa-token

核心架构：基于 “令牌（Token）” 的轻量设计，通过拦截器拦截请求，验证令牌合法性和权限。
- 认证流程：用户登录 → 调用 StpUtil.login(userId) 生成令牌 → 令牌存入客户端（Cookie/Header）→ 后续请求携带令牌 → 拦截器验证令牌 → 授权通过。
- 权限控制：通过注解（如 @SaCheckRole("admin")）或 API（如 StpUtil.hasRole("admin")）实现。
关键组件：
- StpUtil：核心工具类，提供登录、权限校验等静态方法。
- SaTokenConfig：配置类（如令牌过期时间、前缀）。
- SaInterceptor：拦截器，负责令牌验证和权限检查。
使用示例：

// 登录
@PostMapping("/login")
public String login(String username, String password) {
    // 验证用户名密码（省略）
    StpUtil.login(10001); // 以用户ID登录，自动生成令牌
    return "登录成功，令牌：" + StpUtil.getTokenValue();
}

// 权限控制（注解方式）
@SaCheckRole("admin") // 要求具有admin角色
@GetMapping("/admin/info")
public String adminInfo() {
    return "管理员信息";
}

三、功能特性对比

功能	Spring Security + OAuth2.0	sa-token
认证方式	支持表单、OAuth2.0、LDAP、JWT 等多种认证	基于令牌（默认 JWT），支持用户名密码、手机号验证码等
授权粒度	支持 URL 级、方法级、数据级授权	支持 URL 级、方法级授权，数据级需自定义
第三方登录	原生支持 OAuth2.0/OpenID Connect，可集成微信、谷歌等	需手动对接第三方 API（无内置 OAuth2.0 实现）
分布式支持	需配合 Redis 等实现会话共享，配置复杂	内置 Redis 支持，一行代码开启分布式模式
防攻击	内置 CSRF、XSS、会话固定等防护	需手动集成（如通过过滤器实现 CSRF 防护）
多账号体系	支持（需自定义 `Authentication`）	原生支持 “多账号体系”（如用户端、管理端分离）
API 简洁性	配置复杂，需理解大量概念（如 `Authentication`、`GrantedAuthority`）	极简 API，如 `StpUtil.login()`、`StpUtil.hasPerm()`
学习成本	高（需掌握过滤器链、OAuth2.0 协议等）	低（官方文档清晰，示例丰富，1 小时可上手）