Java框架中常用的几种成熟的token生成框架有：
- Spring Security：一个基于Spring的安全框架，提供了声明式的安全访问控制解决方案，支持多种认证和授权机制，如OAuth2.0、JWT等。
- Apache Shiro：一个轻量级的Java安全框架，提供了身份认证、授权、加密、会话管理等功能，支持多种数据源和缓存实现，易于集成和扩展。
- Sa-Token：一个轻量级的Java权限认证框架，主要解决登录认证、权限认证、单点登录、OAuth2.0、分布式Session会话、微服务网关鉴权等一系列权限相关问题，使用简单，功能强大。
Java框架中常用的几种成熟的token生成框架对比
在Web开发中，权限认证是一个非常重要的功能，它可以保证系统的安全性和用户的体验。通常，我们会使用一些成熟的框架来实现权限认证，而不是自己从零开始开发。在Java框架中，常用的几种成熟的token生成框架有Spring Security、Apache Shiro和Sa-Token。这三个框架都有各自的特点和优势，也有一些共同点和差异。本文将从介绍、底层原理、使用实例、优缺点、适用场景等几个维度来对比这三个框架，希望能够给大家提供一些参考。
介绍
Spring Security
Spring Security是一个基于Spring的安全框架，提供了声明式的安全访问控制解决方案，支持多种认证和授权机制，如OAuth2.0、JWT等。Spring Security可以与Spring Boot、Spring MVC、Spring Data等其他Spring项目无缝集成，也可以与其他技术栈配合使用。Spring Security拥有强大的社区支持和丰富的文档资源，是目前最流行的Java安全框架之一。
Apache Shiro
Apache Shiro是一个轻量级的Java安全框架，提供了身份认证、授权、加密、会话管理等功能，支持多种数据源和缓存实现，易于集成和扩展。Apache Shiro可以与任何Java应用程序或框架协作，无论是Web应用还是非Web应用。Apache Shiro有着简洁的API设计和灵活的配置方式，让开发者可以快速上手和定制自己的安全策略。
Sa-Token
Sa-Token是一个轻量级的Java权限认证框架，主要解决登录认证、权限认证、单点登录、OAuth2.0、分布式Session会话、微服务网关鉴权等一系列权限相关问题。Sa-Token使用简单，功能强大，只需一行代码就可以完成会话登录或校验登录状态。Sa-Token更适合于前后台分离架构，支持多种模式和场景的token生成和验证。Sa-Token是一个相对较新的框架，但已经获得了不少关注和好评。
底层原理
Spring Security
Spring Security的核心是一系列过滤器（Filter），它们组成了一个过滤器链（Filter Chain），负责拦截请求并进行安全处理。Spring Security提供了很多内置的过滤器，如UsernamePasswordAuthenticationFilter、BasicAuthenticationFilter、JwtAuthenticationFilter等，也允许开发者自定义过滤器并添加到过滤器链中。每个过滤器都有自己的职责和逻辑，例如验证用户身份、检查用户权限、刷新token等。当一个请求到达过滤器链时，它会按照顺序经过每个过滤器，并根据过滤器的返回结果决定是否继续执行下一个过滤器或者放行请求或者抛出异常。
Spring Security还提供了一些核心组件来支持过滤器链的工作，如AuthenticationManager、AuthenticationProvider、UserDetailsService、PasswordEncoder等。这些组件负责处理具体的认证和授权逻辑，如从数据库中查询用户信息、比对用户密码、生成token、解析token等。开发者可以根据自己的需求配置或替换这些组件，以实现不同的安全策略。
Apache Shiro
Apache Shiro的核心是一个安全管理器（SecurityManager），它是一个单例对象，负责管理所有与安全相关的操作，如创建和销毁主体（Subject）、执行认证和授权等。SecurityManager是一个抽象接口，有两个实现类：DefaultSecurityManager和WebSecurityManager。前者用于非Web应用，后者用于Web应用，并继承了前者的功能。
SecurityManager依赖于一些其他的组件来完成具体的安全任务，如Realm、SessionManager、CacheManager、Cryptography等。Realm是一个数据源组件，负责从数据库或其他地方获取用户信息和权限信息，并提供给SecurityManager进行认证和授权。SessionManager是一个会话管理组件，负责创建和维护主体的会话，可以支持多种会话存储方式，如内存、Cookie、缓存、数据库等。CacheManager是一个缓存管理组件，负责缓存一些频繁访问的数据，如用户信息、权限信息、会话信息等，以提高性能和减少数据库压力。Cryptography是一个加密组件，负责提供一些常用的加密算法，如MD5、SHA、AES等，用于对用户密码或敏感数据进行加密和解密。
Apache Shiro还提供了一些过滤器（Filter）来拦截Web请求，并根据配置的规则进行相应的安全处理，如重定向到登录页面、检查用户角色或权限、记住用户身份等。开发者可以通过简单的配置来启用或禁用这些过滤器，也可以自定义过滤器并添加到过滤器链中。
Sa-Token
Sa-Token的核心是一个静态工具类StpUtil，它提供了一系列静态方法来完成权限认证相关的操作，如登录、注销、校验登录状态、获取或设置会话属性、检查角色或权限等。StpUtil内部依赖于一个SaTokenManager对象，它是一个单例对象，负责管理Sa-Token的所有配置和组件。
SaTokenManager包含了一些核心组件来支持StpUtil的工作，如StpLogic、SaTokenDao、SaTokenAction等。StpLogic是一个核心逻辑组件，负责处理具体的认证和授权逻辑，如生成token、验证token、获取或设置会话数据等。StpLogic可以支持多种模式和场景的token生成和验证，如普通模式、Cookie模式、Password模式、OAuth2.0模式等。SaTokenDao是一个数据源组件，负责从数据库或其他地方读写会话数据，并提供给StpLogic进行处理。SaTokenDao可以支持多种数据源实现，如内存、Cookie、Redis等。SaTokenAction是一个行为逻辑组件，负责处理一些与Web请求相关的操作，如获取或设置Cookie、响应JSON数据、重定向到登录页面等。
Sa-Token还提供了一些注解（Annotation）来简化Web开发中的权限控制，如@SaCheckLogin、@SaCheckRole、@SaCheckPermission等。这些注解可以直接标注在Controller层的方法上，并根据注解的参数进行相应的安全检查，如校验是否登录、是否具有某个角色或权限等。如果检查不通过，则会抛出相应的异常，并由全局异常处理器进行处理。
使用实例
Spring Security
以下是一个使用Spring Security实现基于JWT的认证和授权的简单示例：
- 引入依赖