## 一、需求场景  

在微服务项目中，**我们的子服务一般不能通过外网直接访问，必须通过网关转发才是一个合法的请求**，这种子服务与外网的隔离一般分为两种：

1. 物理隔离：子服务部署在指定的内网环境中，只有网关对外网开放。
2. 逻辑隔离：子服务与网关同时暴露在外网，但是子服务会有一个权限拦截层保证只接受网关发送来的请求，绕过网关直接访问子服务会被提示：无效请求。 

这种鉴权需求牵扯到两个环节：**`网关转发鉴权`**、**`服务内部调用鉴权`**

Sa-Token提供两种解决方案：
1. 使用 OAuth2.0 模式的凭证式，将 Client-Token 用作各个服务的身份凭证进行权限校验。
2. 使用 Same-Token 模块提供的身份校验能力，完成服务间的权限认证。

本篇主要讲解方案二 `Same-Token` 模块的整合步骤，其鉴权流程与 OAuth2.0 类似，不过使用方式上更加简洁。本文代码基于 Sa-Token `v1.46.0`。

> Sa-Token 是一个开源、免费、一站式 java 权限认证框架，主要解决登录认证、权限认证、单点登录、OAuth2、微服务网关鉴权 等一系列权限相关问题。
> - 在线文档：[https://sa-token.com](https://sa-token.com?way=blog)
> - 开源地址：[https://gitee.com/dromara/sa-token](https://gitee.com/dromara/sa-token)


## 二、网关转发鉴权 

### 1、引入依赖

在网关处引入的依赖为（此处以 SpringCloud Gateway 为例）：
``` xml 

<dependency>
    <groupId>cn.dev33</groupId>
    <artifactId>sa-token-reactor-spring-boot-starter</artifactId>
    <version>1.46.0</version>
</dependency>


<dependency>
	<groupId>cn.dev33</groupId>
	<artifactId>sa-token-redis-template</artifactId>
	<version>1.46.0</version>
</dependency>
<dependency>
    <groupId>org.apache.commons</groupId>
    <artifactId>commons-pool2</artifactId>
</dependency>
```

Gradle 方式：
``` gradle
// Sa-Token 权限认证（Reactor响应式集成），在线文档：https://sa-token.com
implementation 'cn.dev33:sa-token-reactor-spring-boot-starter:1.46.0'

// Sa-Token 整合 RedisTemplate
implementation 'cn.dev33:sa-token-redis-template:1.46.0'
implementation 'org.apache.commons:commons-pool2'
```

注：SpringBoot 3.x 请改用 `sa-token-reactor-spring-boot3-starter`，SpringBoot 4.x 请改用 `sa-token-reactor-spring-boot4-starter`。

在子服务引入的依赖为：

``` xml 

<dependency>
    <groupId>cn.dev33</groupId>
    <artifactId>sa-token-spring-boot-starter</artifactId>
    <version>1.46.0</version>
</dependency>


<dependency>
	<groupId>cn.dev33</groupId>
	<artifactId>sa-token-redis-template</artifactId>
	<version>1.46.0</version>
</dependency>
<dependency>
    <groupId>org.apache.commons</groupId>
    <artifactId>commons-pool2</artifactId>
</dependency>
```

Gradle 方式：

``` gradle
// Sa-Token 权限认证，在线文档：https://sa-token.com
implementation 'cn.dev33:sa-token-spring-boot-starter:1.46.0'

// Sa-Token 整合 RedisTemplate
implementation 'cn.dev33:sa-token-redis-template:1.46.0'
implementation 'org.apache.commons:commons-pool2'
```

注：SpringBoot 3.x 请改用 `sa-token-spring-boot3-starter`，SpringBoot 4.x 请改用 `sa-token-spring-boot4-starter`。

旧文里的 `sa-token-dao-redis-jackson` 已更名为 `sa-token-redis-jackson`，当前文档推荐改用 `sa-token-redis-template`。自 v1.46.0 起，该插件用了 Redis 6.0+ 的 `SET KEEPTTL`，Redis 低于 6.0 会报 `ERR syntax error`，处理方式见 [常见问题](https://sa-token.com/doc.html?way=blog#/more/common-questions)。


### 2、网关处添加Same-Token

为网关添加全局过滤器：
``` java
/**
 * 全局过滤器，为请求添加 Same-Token 
 */
@Component
public class ForwardAuthFilter implements GlobalFilter {
	@Override
	public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
		ServerHttpRequest newRequest = exchange
				.getRequest()
				.mutate()
				// 为请求追加 Same-Token 参数 
				.header(SaSameUtil.SAME_TOKEN, SaSameUtil.getToken())
				.build();
        ServerWebExchange newExchange = exchange.mutate().request(newRequest).build();
        return chain.filter(newExchange);
	}
}
```
此过滤器会为 Request 请求头追加 `Same-Token` 参数（请求头名是 `SA-SAME-TOKEN`），这个参数会被转发到子服务 


### 3、在子服务里校验参数 

在子服务添加过滤器校验参数 
``` java
/**
 * Sa-Token 权限认证 配置类 
 */
@Configuration
public class SaTokenConfigure implements WebMvcConfigurer {
	// 注册 Sa-Token 全局过滤器 
    @Bean
    public SaServletFilter getSaServletFilter() {
        return new SaServletFilter()
        		.addInclude("/**")
        		.addExclude("/favicon.ico")
        		.setAuth(obj -> {
        			// 校验 Same-Token 身份凭证 	—— 以下两句代码可简化为：SaSameUtil.checkCurrentRequestToken(); 
        			String token = SaHolder.getRequest().getHeader(SaSameUtil.SAME_TOKEN);
        			SaSameUtil.checkToken(token);
        		})
        		.setError(e -> {
        			return SaResult.error(e.getMessage());
        		})
        		;
    }
}
```

启动网关与子服务，访问测试：

> 如果通过网关转发，可以正常访问，直接访问子服务会提示：`无效Same-Token：xxx`


## 三、RPC调用鉴权 

有时候我们需要在一个服务调用另一个服务的接口，这也是需要添加`Same-Token`作为身份凭证的

在服务里添加 Same-Token 流程与网关类似，我们以RPC框架 `Feign` 为例：

### 1、首先在调用方添加 FeignInterceptor
``` java
/**
 * feign拦截器, 在feign请求发出之前，加入一些操作 
 */
@Component
public class FeignInterceptor implements RequestInterceptor {
	// 为 Feign 的 RPC 调用 添加请求头Same-Token 
	@Override
	public void apply(RequestTemplate requestTemplate) {
		requestTemplate.header(SaSameUtil.SAME_TOKEN, SaSameUtil.getToken());

		// 如果希望被调用方有会话状态，此处就还需要将 satoken 添加到请求头中
		// requestTemplate.header(StpUtil.getTokenName(), StpUtil.getTokenValue());
	}
}
```

### 2、在调用接口里使用此 Interceptor 
``` java
/**
 * 服务调用 
 */
@FeignClient(
		name = "sp-home", 				// 服务名称 
		configuration = FeignInterceptor.class,		// 请求拦截器 （关键代码）
		fallbackFactory = SpCfgInterfaceFallback.class	// 服务降级处理 
		)	
public interface SpCfgInterface {

	// 获取server端指定配置信息 
	@RequestMapping("/SpConfig/getConfig")
	public String getConfig(@RequestParam("key")String key);
	
}
```

被调用方的代码无需更改（按照网关转发鉴权处的代码注册全局过滤器），保持启动测试即可 


## 四、Same-Token 模块详解 

Same-Token —— 专门解决同源系统互相调用时的身份认证校验，它的作用不仅局限于微服务调用场景。

基本使用流程为：服务调用方获取Token，提交到请求中，被调用方取出Token进行校验：Token一致则校验通过，否则拒绝服务。

首先我们预览一下此模块的相关API：
``` java
// 获取当前Same-Token
SaSameUtil.getToken();

// 判断一个Same-Token是否有效
SaSameUtil.isValid(token);

// 校验一个Same-Token是否有效 (如果无效则抛出异常)
SaSameUtil.checkToken(token);

// 校验当前Request提供的Same-Token是否有效 (如果无效则抛出异常)
SaSameUtil.checkCurrentRequestToken();

// 刷新一次Same-Token (注意集群环境中不要多个服务重复调用) 
SaSameUtil.refreshToken();

// 在 Request 上储存 Same-Token 时建议使用的key
SaSameUtil.SAME_TOKEN;
```

### 1、疑问：这个Token保存在什么地方？有没有泄露的风险？Token为永久有效还是临时有效？
Same-Token 默认随 Sa-Token 数据一起保存在Redis中，理论上不会存在泄露的风险，每个Token默认有效期只有一天（配置项 `sa-token.same-token-timeout`，默认 `86400` 秒）

### 2、如何主动刷新Same-Token，例如：五分钟、两小时刷新一次？
Same-Token 刷新间隔越短，其安全性越高，每个Token的默认有效期为一天，在一天后再次获取会自动产生一个新的Token

> 需要注意的一点是：Same-Token默认的自刷新机制，并不能做到高并发可用，多个服务一起触发Token刷新可能会造成毫秒级的短暂服务失效，其只能适用于 项目开发阶段 或 低并发业务场景 

因此在微服务架构下，我们需要有专门的机制主动刷新Same-Token，保证其高可用

例如，我们可以专门起一个服务，使用定时任务来刷新Same-Token 
``` java
/**
 * Same-Token，定时刷新
 */
@Configuration
public class SaSameTokenRefreshTask {
	// 从 0 分钟开始 每隔 5 分钟执行一次 Same-Token  
	@Scheduled(cron = "0 0/5 * * * ? ")
	public void refreshToken(){
		SaSameUtil.refreshToken();
	}
}
```

以上的cron表达式刷新间隔可以配置为`五分钟`、`十分钟` 或 `两小时`，只要低于Same-Token的有效期（默认为一天）即可。

### 3、如果网关携带token转发的请求在落到子服务的节点上时，恰好刷新了token，导致鉴权未通过怎么办？
Same-Token 模块在每次刷新 Token 时，旧 Token 会被作为次级 Token 存储起来，
只要网关携带的 Token 符合新旧 Token 其一即可通过认证，直至下一次刷新，新 Token 再次作为次级 Token 将此替换掉。



## 五、在 Dubbo 中集成 Same-Token
Same-Token 不仅可以为 Feign 提供调用鉴权操作，在 dubbo 的 RPC 调用时也可以使用 Same-Token 进行鉴权，提供这个能力的正是 `sa-token-dubbo` 插件（旧名 `sa-token-context-dubbo`）。

### 1、先说说要解决的问题 

在 Dubbo 的整个调用链中，代码被分为 Consumer 端和 Provider 端，为方便理解我们可以称其为 `[调用端]` 和 `[被调用端]`。 

RPC 模式的调用，可以让我们像调用本地方法一样完成服务通信，然而这种便利下却隐藏着两个问题：

- 上下文环境的丢失。
- 上下文参数的丢失。 

这种问题作用在 Sa-Token 框架上就是，在 [ 被调用端 ] 调用 Sa-Token 相关API会抛出异常：**`无效上下文`**。

所以本插件的目的也就是解决上述两个问题：

- 在 [ 被调用端 ] 提供以 Dubbo 为基础的上下文环境 
- 在 RPC 调用时将 Token 传递至 [ 被调用端 ]，同时在调用结束时将 Token 回传至 [ 调用端 ]。


### 2、引入插件 

在项目已经引入 Dubbo 的基础上，继续添加依赖（Consumer 端和 Provider 端都需要引入）：

``` xml 

<dependency>
	<groupId>cn.dev33</groupId>
	<artifactId>sa-token-dubbo</artifactId>
	<version>1.46.0</version>
</dependency>
```

Gradle 方式
``` gradle
// Sa-Token 整合 Dubbo
implementation 'cn.dev33:sa-token-dubbo:1.46.0'
```

注：如果使用的是 Dubbo 3，将 `sa-token-dubbo` 改成 `sa-token-dubbo3` 即可。

然后我们就可以愉快的做到以下事情：

1. 在 [ 被调用端 ] 安全的调用 Sa-Token 相关 API。
2. 在 [ 调用端 ] 登录的会话，其登录状态可以自动传递到 [ 被调用端 ] 。
3. 在 [ 被调用端 ] 登录的会话，其登录状态也会自动回传到 [ 调用端 ] 。

但是我们仍具有以下限制：

1. [ 调用端 ] 与 [ 被调用端 ] 的 `SaStorage` 数据无法互通。
2. [ 被调用端 ] 执行的 `SaResponse.setHeader()`、`setStatus()` 等代码无效。

应该合理避开以上 API 的使用。


### 3、dubbo 的 RPC调用鉴权

下面我们演示一下在 Dubbo 中如何集成 Same-Token 模块。其实思路和 Feign 模式一致，在 [ 调用端 ] 追加 Same-Token 参数，在 [ 被调用端 ] 校验这个 Same-Token 参数：

- 校验通过：调用成功。
- 校验不通过：调用失败，抛出异常。

我们有两种方式完成整合。

#### 方式一、使用配置（推荐）

直接在 `application.yml` 配置即可：

``` yaml
sa-token: 
	# 打开 RPC 调用鉴权 
	check-same-token: true
```

``` properties
# 打开 RPC 调用鉴权 
sa-token.check-same-token=true
```

插件内置过滤器会在调用端自动追加 Same-Token，在被调用端自动校验。gRPC 同理：引入 `sa-token-grpc` 后同样配置 `check-same-token: true` 即可。


#### 方式二、自建 Dubbo 过滤器校验
此方式略显繁琐，好处是除了Same-Token，我们还可以添加其它自定义参数 (attachment)。

1、在 [ 调用端 ] 的 `\resources\META-INF\dubbo\` 目录新建 `org.apache.dubbo.rpc.Filter` 文件
``` html
dubboConsumerFilter=com.pj.DubboConsumerFilter
```

新建 `DubboConsumerFilter.java` 过滤器

``` java
package com.pj;

import org.apache.dubbo.common.constants.CommonConstants;
import org.apache.dubbo.common.extension.Activate;
import org.apache.dubbo.rpc.*;

import cn.dev33.satoken.same.SaSameUtil;

/**
 * Sa-Token 整合 Dubbo Consumer端过滤器 
 */
@Activate(group = {CommonConstants.CONSUMER}, order = -10000)
public class DubboConsumerFilter implements Filter {

	@Override
	public Result invoke(Invoker<?> invoker, Invocation invocation) throws RpcException {
		
		// 追加 Same-Token 参数 
		RpcContext.getContext().setAttachment(SaSameUtil.SAME_TOKEN, SaSameUtil.getToken());
		
		// 如果有其他自定义附加数据，如租户
		// RpcContext.getContext().setAttachment("tenantContext", tenantContext);
		
		// 开始调用
		return invoker.invoke(invocation);
	}

}
```

Dubbo 3 请把 `RpcContext.getContext()` 换成 `RpcContext.getServiceContext()`。


2、在 [ 被调用端 ] 的 `\resources\META-INF\dubbo\` 目录新建 `org.apache.dubbo.rpc.Filter` 文件
``` html
dubboProviderFilter=com.pj.DubboProviderFilter
```

新建 `DubboProviderFilter.java` 过滤器

``` java
package com.pj;

import org.apache.dubbo.common.constants.CommonConstants;
import org.apache.dubbo.common.extension.Activate;
import org.apache.dubbo.rpc.*;

import cn.dev33.satoken.same.SaSameUtil;

/**
 * Sa-Token 整合 Dubbo Provider端过滤器 
 */
@Activate(group = {CommonConstants.PROVIDER}, order = -10000)
public class DubboProviderFilter implements Filter {

	@Override
	public Result invoke(Invoker<?> invoker, Invocation invocation) throws RpcException {
		
		// 取出 Same-Token 进行校验 
		String sameToken = invocation.getAttachment(SaSameUtil.SAME_TOKEN);
		// 部分协议会把 attachment key 转成小写
		if(sameToken == null) {
			sameToken = invocation.getAttachment(SaSameUtil.SAME_TOKEN.toLowerCase());
		}
		SaSameUtil.checkToken(sameToken);
		
		// 取出其他自定义附加数据
		// TenantContext tenantContext = invocation.getAttachment("tenantContext");
		
		// 开始调用
		return invoker.invoke(invocation);
	}

}
```


然后我们就可以进行安全的 RPC 调用了，不带有 Same-Token 参数的调用都会抛出异常，无法调用成功。








---

## 参考资料

- Sa-Token 文档：[https://sa-token.com](https://sa-token.com?way=blog)
- Gitee 仓库地址：[https://gitee.com/dromara/sa-token](https://gitee.com/dromara/sa-token)
- GitHub 仓库地址：[https://github.com/dromara/sa-token](https://github.com/dromara/sa-token)

在微服务项目中，我们的子服务一般不能通过外网直接访问，必须通过网关转发才是一个合法的请求，这种子服务与外网的隔离一般分为两种：

别人绕过我的网关直接调用资源服务怎么办？使用 Sa-Token 解决：网关转发鉴权、RPC调用鉴权

微服务子服务通常不能被外网直连，需经网关转发才算合法请求。若有人绕过网关直调资源服务会怎样？本文用 Sa-Token 讲清网关转发鉴权与 RPC 调用鉴权，堵住「绕过网关」缺口，加固内网服务边界安全，适合已有网关但仍担心直连风险的团队，文内含示例，可直接对照实践。

后端

架构设计

开发工具

本文详解Sa-Token Same-Token模块在微服务中的鉴权应用，涵盖网关转发鉴权、Feign与Dubbo RPC调用鉴权及定时刷新策略，实现子服务外网隔离与安全调用，附完整代码示例，提升微服务安全性与开发效率。

微服务架构

单点登录

代码解释

Redis

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

别人绕过我的网关直接调用资源服务怎么办？使用 Sa-Token 解决：网关转发鉴权、RPC调用鉴权-腾讯云开发者社区-腾讯云

别人绕过我的网关直接调用资源服务怎么办？使用 Sa-Token 解决：网关转发鉴权、RPC调用鉴权

别人绕过我的网关直接调用资源服务怎么办？使用 Sa-Token 解决：网关转发鉴权、RPC调用鉴权

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐