SpringBoot 使用 Sa-Token 实现账号封禁、分类封禁、阶梯封禁-六虎

一、需求剖析

之前的章节中，咱们学习了踢人下线和强制刊出功用，用于清退违规账号。在部分场景下，咱们还需求将其 账号封禁，以避免其再次登录。

Sa-Token 是一个轻量级 java 权限认证框架，首要处理登录认证、权限认证、单点登录、OAuth2、微服务网关鉴权等一系列权限相关问题。
Gitee 开源地址：gitee.com/dromara/sa-…

Sa-Token 供给的封禁操作有三种：

账号封禁：封禁掉一个账号的登录才能，使其无法登录。
分类封禁：封禁掉一个账号的部分事务操作权限，不影响账号的整体登录等基础功用。
阶梯封禁：按照不同的违规程度，给与其不同的封禁力度。

本篇文章将介绍在 Sa-Token 中怎么完结上述三种封禁操作。

首要在项目中引入 Sa-Token 依靠：

<!-- Sa-Token 权限认证 -->
<dependency>
    <groupId>cn.dev33</groupId>
    <artifactId>sa-token-spring-boot-starter</artifactId>
    <version>1.34.0</version>
</dependency>

注：假如你运用的是 SpringBoot 3.x，只需求将 sa-token-spring-boot-starter 修改为 sa-token-spring-boot3-starter 即可。

二、账号封禁

对指定账号进行封禁：

// 封禁指定账号 
StpUtil.disable(10001, 86400);

参数意义：

参数1：要封禁的账号id。
参数2：封禁时刻，单位：秒，此为 86400秒 = 1天（此值为 -1 时，代表永久封禁）。

留意点：关于正在登录的账号，将其封禁并不会使它当即掉线，假如咱们需求它即刻下线，可采用先踢再封禁的战略，例如：

// 先踢下线
StpUtil.kickout(10001); 
// 再封禁账号
StpUtil.disable(10001, 86400);

待到下次登录时，咱们先校验一下这个账号是否已被封禁：

// 校验指定账号是否已被封禁，假如被封禁则抛出反常 `DisableServiceException`
StpUtil.checkDisable(10001); 
// 经过校验后，再进行登录：
StpUtil.login(10001);

旧版本在 StpUtil.login() 时会主动校验账号是否被封禁，v1.31.0 之后将校验封禁和登录两个动作别离成两个办法，不再主动校验，请留意其间的逻辑更改。

此模块一切办法：

// 封禁指定账号 
StpUtil.disable(10001, 86400); 
// 获取指定账号是否已被封禁 (true=已被封禁, false=未被封禁) 
StpUtil.isDisable(10001); 
// 校验指定账号是否已被封禁，假如被封禁则抛出反常 `DisableServiceException`
StpUtil.checkDisable(10001); 
// 获取指定账号剩下封禁时刻，单位：秒，假如该账号未被封禁，则回来-2 
StpUtil.getDisableTime(10001); 
// 解除封禁
StpUtil.untieDisable(10001);

三、分类封禁

有的时分，咱们并不需求将整个账号禁掉，而是只制止其拜访部分服务。

假定咱们在开发一个电商系统，关于违规账号的处分，咱们设定三种分类封禁：

1、封禁点评才能：账号A 由于屡次虚伪好评，被约束订单点评功用。
2、封禁下单才能：账号B 由于屡次薅羊毛，被约束下单功用。
3、封禁开店才能：账号C 由于店肆出售假货，被约束开店功用。

相比于封禁账号的一刀切处分，这儿的关键点在于：每一项才能封禁的一起，都不会对其它才能形成影响。

也便是说咱们需求一种只对部分服务进行约束的才能，对应到代码层面，便是只制止部分接口的调用。

// 封禁指定用户谈论才能，期限为 1天
StpUtil.disable(10001, "comment", 86400);

参数释义：

参数1：要封禁的账号id。
参数2：针对这个账号，要封禁的服务标识（可所以任意的自定义字符串）。
参数3：要封禁的时刻，单位：秒，此为 86400秒 = 1天（此值为 -1 时，代表永久封禁）。

分类封禁模块一切可用API：

/*
 * 以下示例中："comment"=谈论服务标识、"place-order"=下单服务标识、"open-shop"=开店服务标识
 */
// 封禁指定用户谈论才能，期限为 1天
StpUtil.disable(10001, "comment", 86400);
// 在谈论接口，校验一下，会抛出反常：`DisableServiceException`，运用 e.getService() 可获取事务标识 `comment` 
StpUtil.checkDisable(10001, "comment");
// 在下单时，咱们校验一下 下单才能，并不会抛出反常，由于咱们没有约束其下单功用
StpUtil.checkDisable(10001, "place-order");
// 现在咱们再将其下单才能封禁一下，期限为 7天 
StpUtil.disable(10001, "place-order", 86400 * 7);
// 然后在下单接口，咱们添加上校验代码，此刻用户便会由于下单才能被封禁而无法下单（代码抛出反常）
StpUtil.checkDisable(10001, "place-order");
// 但是此刻，用户假如调用开店功用的话，还是能够经过，由于咱们没有约束其开店才能 （除非咱们再调用了封禁开店的代码）
StpUtil.checkDisable(10001, "open-shop");

经过以上示例，你应该大致能够了解 事务封禁 -> 事务校验 的处理过程。

有关分类封禁的一切办法：

// 封禁：指定账号的指定服务 
StpUtil.disable(10001, "<事务标识>", 86400); 
// 判别：指定账号的指定服务 是否已被封禁 (true=已被封禁, false=未被封禁) 
StpUtil.isDisable(10001, "<事务标识>"); 
// 校验：指定账号的指定服务 是否已被封禁，假如被封禁则抛出反常 `DisableServiceException`
StpUtil.checkDisable(10001, "<事务标识>"); 
// 获取：指定账号的指定服务 剩下封禁时刻，单位：秒（-1=永久封禁，-2=未被封禁）
StpUtil.getDisableTime(10001, "<事务标识>"); 
// 解封：指定账号的指定服务
StpUtil.untieDisable(10001, "<事务标识>");

四、阶梯封禁

关于屡次违规的用户，咱们常常采取阶梯处分的战略，这种 “阶梯” 一般有两种方式：

处分时刻阶梯：首次违规封禁 1 天，第2次封禁 7 天，第三次封禁 30 天，依次顺延……
处分力度阶梯：首次违规消息提醒、第2次禁言禁谈论、第三次制止账号登录，等等……

根据处分时刻的阶梯，咱们只需在封禁时 StpUtil.disable(10001, 86400) 传入不同的封禁时刻即可，下面咱们着重探讨一下根据处分力度的阶梯方式。

假定咱们在开发一个论坛系统，关于违规账号的处分，咱们设定三种力度：

1、轻度违规：封禁其发帖、谈论才能，但答应其点赞、重视等操作。
2、中度违规：封禁其发帖、谈论、点赞、重视等一切与别人互动的才能，但答应其阅读帖子、阅读谈论。
3、重度违规：封禁其登录功用，约束一切才能。

处理这种需求的关键在于，咱们需求把不同处分力度，量化成不同的处分等级，比方上述的 轻度、中度、重度 3 个力度，
咱们将其量化为一级封禁、二级封禁、三级封禁 3个等级，数字越大代表封禁力度越高。

然后咱们就能够运用阶梯封禁的API，进行鉴权了：

// 阶梯封禁，参数：封禁账号、封禁等级、封禁时刻 
StpUtil.disableLevel(10001, 3, 10000);
// 获取：指定账号封禁的等级 （假如此账号未被封禁则回来 -2）
StpUtil.getDisableLevel(10001);
// 判别：指定账号是否已被封禁到指定等级，回来 true 或 false
StpUtil.isDisableLevel(10001, 3);
// 校验：指定账号是否已被封禁到指定等级，假如已到达此等级（例如已被3级封禁，这儿校验是否到达2级），则抛出反常 `DisableServiceException`
StpUtil.checkDisableLevel(10001, 2);

留意点：DisableServiceException 反常代表当时账号未经过封禁校验，能够：

经过 e.getLevel() 获取这个账号实践被封禁的等级。
经过 e.getLimitLevel() 获取这个账号在校验时要求低于的等级。当 Level >= LimitLevel 时，框架就会抛出反常。

假如事务足够复杂，咱们还可能将分类封禁和阶梯封禁组合运用：

// 分类阶梯封禁，参数：封禁账号、封禁服务、封禁等级、封禁时刻 
StpUtil.disableLevel(10001, "comment", 3, 10000);
// 获取：指定账号的指定服务 封禁的等级 （假如此账号未被封禁则回来 -2）
StpUtil.getDisableLevel(10001, "comment");
// 判别：指定账号的指定服务 是否已被封禁到指定等级，回来 true 或 false
StpUtil.isDisableLevel(10001, "comment", 3);
// 校验：指定账号的指定服务 是否已被封禁到指定等级（例如 comment服务 已被3级封禁，这儿校验是否到达2级），假如已到达此等级，则抛出反常 
StpUtil.checkDisableLevel(10001, "comment", 2);

五、运用注解完结封禁校验

首要咱们需求注册 Sa-Token 全局拦截器：

@Configuration
public class SaTokenConfigure implements WebMvcConfigurer {
	// 注册 Sa-Token 拦截器，翻开注解式鉴权功用 
	@Override
	public void addInterceptors(InterceptorRegistry registry) {
		registry.addInterceptor(new SaInterceptor()).addPathPatterns("/**");	
	}
}

然后咱们就能够运用以下注解校验账号是否封禁：

// 校验当时账号是否被封禁，假如已被封禁会抛出反常，无法进入办法 
@SaCheckDisable
@PostMapping("send")
public SaResult send() {
	// ... 
	return SaResult.ok(); 
}
// 校验当时账号是否被封禁 comment 服务，假如已被封禁会抛出反常，无法进入办法 
@SaCheckDisable("comment")
@PostMapping("send")
public SaResult send() {
	// ... 
	return SaResult.ok(); 
}
// 校验当时账号是否被封禁 comment、place-order、open-shop 等服务，指定多个值，只需有一个已被封禁，就无法进入办法 
@SaCheckDisable({"comment", "place-order", "open-shop"})
@PostMapping("send")
public SaResult send() {
	// ... 
	return SaResult.ok(); 
}
// 阶梯封禁，校验当时账号封禁等级是否到达5级，假如到达则抛出反常 
@SaCheckDisable(level = 5)
@PostMapping("send")
public SaResult send() {
	// ... 
	return SaResult.ok(); 
}
// 分类封禁 + 阶梯封禁 校验：校验当时账号的 comment 服务，封禁等级是否到达5级，假如到达则抛出反常 
@SaCheckDisable(value = "comment", level = 5)
@PostMapping("send")
public SaResult send() {
	// ... 
	return SaResult.ok(); 
}

六、来个小示例，加深了解

package com.pj.cases.up;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
import cn.dev33.satoken.stp.StpUtil;
import cn.dev33.satoken.util.SaResult;
/**
 * Sa-Token 账号封禁示例 
 * 
 * @author kong
 * @since 2022-10-17 
 */
@RestController
@RequestMapping("/disable/")
public class DisableController {
	// 会话登录接口  ---- http://localhost:8081/disable/login?userId=10001
	@RequestMapping("login")
	public SaResult login(long userId) {
		// 1、先查看此账号是否已被封禁 
		StpUtil.checkDisable(userId);
		// 2、查看经往后，再登录 
		StpUtil.login(userId);
		return SaResult.ok("账号登录成功");
	}
	// 会话刊出接口  ---- http://localhost:8081/disable/logout
	@RequestMapping("logout")
	public SaResult logout() {
		StpUtil.logout();
		return SaResult.ok("账号退出成功");
	}
	// 封禁指定账号  ---- http://localhost:8081/disable/disable?userId=10001
	@RequestMapping("disable")
	public SaResult disable(long userId) {
		/*
		 * 账号封禁：
		 * 	参数1：要封禁的账号id
		 * 	参数2：要封禁的时刻，单位：秒，86400秒=1天
		 */
		StpUtil.disable(userId, 86400);
		return SaResult.ok("账号 " + userId + " 封禁成功");
	}
	// 解封指定账号  ---- http://localhost:8081/disable/untieDisable?userId=10001
	@RequestMapping("untieDisable")
	public SaResult untieDisable(long userId) {
		StpUtil.untieDisable(userId);
		return SaResult.ok("账号 " + userId + " 解封成功");
	}
}

测验过程：

拜访登录接口，能够正常登录 —- http://localhost:8081/disable/login?userId=10001
刊出登录 —- http://localhost:8081/disable/logout
禁用账号 —- http://localhost:8081/disable/disable?userId=10001
再次拜访登录接口，登录失利 —- http://localhost:8081/disable/login?userId=10001
解封账号 —- http://localhost:8081/disable/untieDisable?userId=10001
再次拜访登录接口，登录成功 —- http://localhost:8081/disable/login?userId=10001

参考资料

Sa-Token 文档：sa-token.cc
Gitee 库房地址：gitee.com/dromara/sa-…
GitHub 库房地址：github.com/dromara/sa-…

SpringBoot 使用 Sa-Token 实现账号封禁、分类封禁、阶梯封禁

一、需求剖析

二、账号封禁

三、分类封禁

四、阶梯封禁

五、运用注解完结封禁校验

六、来个小示例，加深了解

参考资料

相关文章

Android 构建扩展性更好的系统 —— 里氏替换原则

【漏洞分析】Apache ShardingSphere-Proxy

天马行空使用适配器模式

后端数据脱敏实现简单总结

作者信息