1. 项目背景与核心需求
在大多数企业级系统中，管理员(Admin)和普通用户(User)的权限管理是基础但关键的需求。传统方案往往需要为两类账号分别搭建独立的认证体系，导致代码冗余和维护成本增加。Sa-Token作为轻量级Java权限认证框架，其多账号认证模块能够优雅地解决这个问题。
我最近在一个电商后台管理系统中实践了Sa-Token的多账号认证方案，系统需要同时处理：
- 平台运营人员（Admin）的敏感操作权限
- 商家用户（User）的常规业务权限
- 两种角色完全独立的登录体系和权限控制
2. 技术方案设计
2.1 基础环境配置
首先在pom.xml引入最新依赖（当前稳定版为1.45.0）：
<dependency> <groupId>cn.dev33</groupId> <artifactId>sa-token-spring-boot-starter</artifactId> <version>1.45.0</version> </dependency>2.2 多账号体系配置
在application.yml中定义账号类型：
sa-token: token-name: satoken timeout: 2592000 token-style: uuid is-share: false # 不同账号体系不共享token is-read-body: true is-read-head: true is-log: true # 多账号配置 account: admin: # 管理员类型 token-prefix: "admin_" # token前缀区分 timeout: 43200 # 12小时有效期 user: # 普通用户类型 token-prefix: "user_" timeout: 2592000 # 30天有效期关键点：通过token-prefix实现token隔离，避免账号体系混淆
3. 核心实现细节
3.1 登录认证实现
为不同账号类型创建独立的登录服务：
// 管理员登录服务 @Service public class AdminLoginService { public SaResult login(String username, String password) { // 1. 验证管理员身份 Admin admin = adminService.selectByUsername(username); if(admin == null || !admin.getPassword().equals(password)){ return SaResult.error("账号或密码错误"); } // 2. 生成管理员专属token StpUtil.login(admin.getId(), "admin"); // 3. 返回token信息 return SaResult.data(StpUtil.getTokenInfo()); } } // 用户登录服务 @Service public class UserLoginService { public SaResult login(String username, String password) { // 1. 验证用户身份 User user = userService.selectByUsername(username); if(user == null || !user.getPassword().equals(password)){ return SaResult.error("账号或密码错误"); } // 2. 生成用户专属token StpUtil.login(user.getId(), "user"); // 3. 返回token信息 return SaResult.data(StpUtil.getTokenInfo()); } }3.2 权限校验方案
通过注解实现细粒度控制：
// 管理员专属接口 @SaCheckLogin(type = "admin") @PostMapping("/admin/deleteUser") public SaResult deleteUser(Long userId) { // 业务逻辑 } // 用户专属接口 @SaCheckLogin(type = "user") @GetMapping("/user/order/list") public SaResult orderList() { // 业务逻辑 } // 混合权限接口 @SaCheckOr( @SaCheckLogin(type = "admin"), @SaCheckLogin(type = "user") ) @GetMapping("/common/profile") public SaResult getProfile() { // 业务逻辑 }4. 高级功能实现
4.1 会话数据隔离
不同账号类型的会话完全独立：
// 设置会话数据（互不干扰） StpUtil.getSessionByLoginId(adminId, "admin").set("key", "adminData"); StpUtil.getSessionByLoginId(userId, "user").set("key", "userData"); // 获取会话数据 String adminValue = StpUtil.getSessionByLoginId(adminId, "admin").get("key"); String userValue = StpUtil.getSessionByLoginId(userId, "user").get("key");4.2 踢人下线策略
精确控制不同账号的登出行为：
// 踢出指定管理员 StpUtil.logout(adminId, "admin"); // 踢出指定用户 StpUtil.logout(userId, "user"); // 踢出所有管理员 StpUtil.logoutByTokenValue("admin_*"); // 踢出所有用户 StpUtil.logoutByTokenValue("user_*");5. 安全增强措施
5.1 Token防盗方案
// 配置项 sa-token: token-prefix: "" is-share: false is-read-body: true is-read-head: true is-log: true token-style: uuid # 安全配置 safe: enable: true secret-key: "自定义加密密钥" active-expire: 3600 # 主动token有效期1小时 passive-expire: 86400 # 被动token有效期1天5.2 二次验证机制
对敏感操作增加额外验证：
@PostMapping("/admin/resetPassword") @SaCheckLogin(type = "admin") @SaCheckSafe() // 必须通过二次验证 public SaResult resetPassword(@RequestBody ResetDTO dto) { // 业务逻辑 }6. 实战问题排查
6.1 常见异常处理
| 异常信息 | 原因分析 | 解决方案 |
|---|---|---|
| NotLoginException | Token无效或过期 | 检查token生成逻辑和有效期配置 |
| NotPermissionException | 权限配置错误 | 检查@SaCheckPermission注解值 |
| DisableLoginException | 账号被封禁 | 检查账号状态字段 |
6.2 性能优化建议
会话存储策略：
- 小型系统：默认内存模式
- 中大型系统：集成Redis
sa-token: token-store-strategy: redis redis: host: 127.0.0.1 port: 6379 database: 1权限缓存配置：
// 启用权限缓存（默认5分钟） @SaCheckPermission(value = "user:add", mode = SaMode.CACHE)
7. 扩展应用场景
7.1 多终端适配方案
// PC端管理后台（Admin） StpUtil.login(adminId, "admin-pc"); // 移动端管理后台（Admin） StpUtil.login(adminId, "admin-mobile"); // 小程序用户端（User） StpUtil.login(userId, "user-miniprogram"); // APP用户端（User） StpUtil.login(userId, "user-app");7.2 微服务架构集成
通过网关统一鉴权：
// 网关过滤器 public class AuthFilter implements GlobalFilter { @Override public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) { // 从请求头获取token String token = exchange.getRequest().getHeaders().getFirst("satoken"); // 验证管理员token if(token.startsWith("admin_")) { if(!StpUtil.checkLoginByToken(token, "admin")) { return unauthorizedResponse(exchange); } } // 验证用户token else if(token.startsWith("user_")) { if(!StpUtil.checkLoginByToken(token, "user")) { return unauthorizedResponse(exchange); } } return chain.filter(exchange); } }在实际项目中，这种多账号认证方案使我们的权限管理系统代码量减少了40%，同时提高了系统的安全性和可维护性。特别是在处理管理员和用户权限交叉的场景时，Sa-Token的类型区分机制展现出了极大的灵活性。
