目前最新版本 v1.46.0 已推送至 Maven 中央仓库 🎉，大家可以通过如下方式引入：
cn.dev33
sa-token-spring-boot4-starter
1.46.0
Spring Boot 3.x 请改用 sa-token-spring-boot3-starter，Spring Boot 2.x 请改用 sa-token-spring-boot-starter。
该版本包含大量 ⛏️️️新增特性、⛏️底层重构、⛏️️️代码优化 等，下面容我列举几条比较重要的更新内容供大家参阅：
📦 更新点 1：新增 sa-token-fory-json 插件，JSON 方案再添一位
这是官方规划里「 JSON 模块集成 Apache Fory 」的落地，把 Fory JSON 接到 SaJsonTemplate 上。
此前 Session / Redis 序列化主要是 Jackson （ Boot 默认，JSON 里会写 @class）和 Fastjson2 / Snack （默认不写类型信息）。相对 Jackson：Fory 官方文档给出的吞吐更高，且默认不写类型信息，避开多态反序列化那条面；相对 Fastjson2：用法接近，适合已经在用 Apache Fory 、或不想再绑 Fastjson 栈的项目。引入后 SPI 自动注入，不用自己包一层。
cn.dev33
sa-token-fory-json
1.46.0
JSON 插件全家桶现在是：Jackson 、Jackson3 、Fastjson 、Fastjson2 、Fory JSON、Snack3 、Snack4 。Boot 2/3 默认仍是 Jackson ，Boot 4 默认 Jackson3 ，用得顺不必为了换而换。
在线文档：JSON 序列化扩展 🔗
🌐 更新点 2：新增 sa-token-rest-client / sa-token-rest-template 插件
SSO 模式三的 ticket 校验、单点注销、消息推送都要发 HTTP 。此前只有 Forest 、OkHttps 两套第三方客户端。Spring 项目本来就有 spring-web，再为 SSO 拉一套 HTTP 库，依赖和 API 都多一层。
本版按官方规划补上 Spring 官方客户端：sa-token-rest-template、sa-token-rest-client。相对 Forest / OkHttps：不引入第三方 HTTP 栈，跟 Spring 一条线。RestClient 相对 RestTemplate：它是 Spring Framework 6.1+ / Boot 3.2+ 的官方继任者，Boot 4 里 RestTemplate 已标记 deprecated ，新项目优先 RestClient 。Boot 2 或 Boot 3.0–3.1 没有 RestClient，继续用 RestTemplate 或 Forest 。
cn.dev33
sa-token-rest-client
1.46.0
[td]运行环境[/td]
[td]推荐插件[/td]
非 Spring / Solon
sa-token-forest 或 sa-token-okhttps
Spring Boot 2 ，或 Boot 3.0–3.1
sa-token-rest-template 或 sa-token-forest
Spring Boot 3.2+ / 4
优先 sa-token-rest-client
同一 classpath 只放一个 HTTP 插件。没配任何处理器会报错误码 30010 。本版还加了 SSO Client 的 Spring Boot 4 示例。
在线文档：HTTP 请求扩展 🔗
🗄️ 更新点 3：新增 sa-token-alone-redisson 插件，权限缓存和业务缓存拆开
来自 GitHub #710、Gitee #ICE2V0：alone-redis 要能配独立 Redisson 。
升级有什么用： 现在 redisson 集成也可以做到权限缓存和业务缓存分离了，会话数据和业务 Redis 不再挤在同一个 Client 上，key 冲突、误删、codec 打架都能避开。Boot 4 另有 sa-token-alone-redis-by-spring-boot4。
cn.dev33
sa-token-alone-redisson
1.46.0
引入后不必再引 sa-token-redisson / sa-token-redisson-spring-boot-starter。
sa-token:
alone-redisson:
config:
singleServerConfig:
address: "redis://127.0.0.1:6379"
database: 2
config 与 file 二选一。示例覆盖单机、集群、Boot 3/4 。
Boot 4 注意：Redisson 3.45 的 starter 仍引用已移除的 RedisAutoConfiguration，不要引 redisson-spring-boot-starter，自己注册 Bean 。SaTokenDaoForRedisson 默认 StringCodec，并可用 setAndKeepTTL 原子保留 TTL 。fix: #791
在线文档：独立 Redisson 插件 🔗
🔧 更新点 4：RedisTemplate 检索改 SCAN 、update 保 TTL 、key 可加前缀
这几条都是社区老工单：
升级有什么用： 在线用户查询不再 KEYS *；改 Session 不会把过期时间抹成「再活一整段 timeout 」；多系统共 Redis 可以 wrapKey 隔离开。
public class MySaTokenDao extends SaTokenDaoForRedisTemplate {
@Override
public String wrapKey(String key) {
return "my-app:" + key;
}
}
KEEPTTL 需要 Redis >= 6.0 。
🔔 更新点 5：注销前侦听器，会话清掉之前还能读现场
来自 sa-token 小助手用户「潮汐」的建议：侦听器触发时设备信息往往已经没了，审计不好记。
升级有什么用： 踢人、顶人、主动注销前，还能读到 Token-Session 、设备列表，写日志、发通知不用自己抢时序。
@Override
public void doBeforeLogout(String loginType, Object loginId, String tokenValue, SaLogoutParameter logoutParameter) {
SaSession session = SaManager.getStpLogic(loginType).getSessionByLoginId(loginId, false);
SaTerminalInfo terminal = session == null ? null : session.getTerminal(tokenValue);
// 记注销日志
}
对应钩子：doBeforeLogout / doBeforeKickout / doBeforeReplaced。不要用 StpUtil 读当前请求上下文，用参数里的 loginId、tokenValue 去查。
在线文档：全局侦听器 🔗
📋 更新点 6：Session 新增 getList / getSet / getMap
本版主动补齐。以前从 Session 取集合，要么 get 完再强转，要么自己处理 Redis 回来的裸 List 。现在把元素类型写在参数上，主要是为了让代码写得更优雅，调用更友善。
// 以前
@SuppressWarnings("unchecked")
List users = (List) session.get("users");
// 现在
List users = session.getList("users", SysUser.class);
Set roles = session.getSet("roles", String.class);
Map scoreMap = session.getMap("scoreMap", String.class, Long.class);
// 缺 key 时给默认集合
session.getList("users", SysUser.class, ArrayList::new);
OAuth2 索引、SSO Client 列表、ApiKey 索引也切到这套 API ，业务侧同一套写法。
在线文档：Session 会话 🔗
🚪 更新点 7：SSO 客户端支持按账号单点注销
社区提案：子系统删用户时，希望一行 API 通知认证中心把该账号全端打下线。
升级有什么用： 后台封号、离职回收，不必再自己拼 SSO 推送报文。
// sso-server
SaSsoServerUtil.ssoLogout(loginId);
// sso-client （本地 loginId ，框架按策略转成认证中心 id ）
SaSsoClientUtil.ssoLogout(loginId);
在线文档：Sa-Token SSO 单点注销 🔗
🧩 更新点 8：SaRequest / SaResponse / SaStorage 可策略创建
来自 GitHub #841：旧版靠继承 SaTokenContextForSpring 改上下文，v1.42 重构后那套父类没了。
升级有什么用： Nginx 改 URI 、自定义 Request 包装，改策略函数即可，不用再继承已删除的上下文类。
SaStrategy 新增 createSaRequest / createSaResponse / createSaStorage。getSaTokenConfig 也可接管配置来源，方便从数据库读 Sa-Token 配置。
⚠️ 更新点 9：两处不向下兼容，升级先看
1 ）allowLoginIdColon 默认 false 。 官方一直强调 loginId 不要带冒号（持久化 key 用 : 分段）。本版源码直接拒登。存量项目如果 loginId 里真有冒号：
sa-token:
allow-login-id-colon: true
2 ）StpInterface.isDisabled 增加 loginType 参数。 自己实现了封禁查询的，要改方法签名。
另外：JWT extraData 禁止写入 loginType、loginId、deviceType、eff、rnStr 等保留字段，撞名会直接抛错。
🛡️ 更新点 10：修复 OAuth2 / SSO redirect 绕过 allow-url 漏洞
来自社区用户提交的漏洞报告：OAuth2 调用 /oauth2/doConfirm 时，redirect_uri 校验可被绕过；本版审查后确认 SSO 的 redirect 存在同类问题。
触发条件为（需同时满足）：
[ol]
[/ol]
普通登录鉴权、没用 SSO/OAuth2 的项目，与这条无关。allow-url: "*" 等于主动放开白名单，也不在本条讨论范围。
会造成： ticket 或授权码被下发到第三方站点。
新版本： SSO 与 OAuth2 两侧同时拒绝 @、%40、%2540；* 只能出现在最后一位，且前一位必须是 / 或 :；isUrl 支持 IPv6 方括号地址。生产环境请把 allow-url 配成明确地址。用了 SSO/OAuth2 的，建议升到 v1.46.0 。
sa-token:
sso-server:
clients:
sso-client1:
allow-url: http://sa-sso-client1.com:9003/*
感谢这位社区用户提交的漏洞报告。
🔐 更新点 11：修复 Jackson 多态反序列化漏洞，新增类型白名单
这是本版对 JSON 反序列化路径的主动审查：使用 Jackson / Jackson3 把 SaSession 写入 Redis 时，JSON 里会带 @class 类型标记；旧版本未限制严格限制反序列化类型白名单，可能会在反序列化时触发 classpath 上的任意类。
触发条件为（需同时满足）： 使用 SaJsonTemplate 去反序列化业务中未严格审查的 json 字符串。
fastjson / fastjson2 / fory-json / snack3 默认不写类型标记，一般不走这条面。不去使用 SaJsonTemplate 去反序列化业务中未严格审查的 json 字符串。本版起 sa-token-snack3 也不再写入类型信息。
会造成： 攻击者提交恶意 json 字符串，可能触发多态反序列化 RCE 。
新版本： 增加 SaJsonStrategy 全局类型白名单，只允许白名单内类型参与这类反序列化。JDK 常见值类型、框架已实现 SaJsonType 的 Model 默认在名单里；你的业务实体默认不在。用了 Jackson 且 Session 里存了自定义对象的，升级后可能看到：
无法反序列化的类型：com.pj.model.SysUser ，请先将其注册到 JSON 全局类型白名单
推荐让实体实现 SaJsonType：
public class SysUser implements SaJsonType {
// ...
}
也可以在 SpringApplication.run 之前 调用 SaJsonStrategy.instance.registerAllowType(SysUser.class)，或在 META-INF/satoken/sa-json-type.list 按行写完整类名。JSON 插件初始化后再注册会失败。不要登记 Object.class。用了 Jackson + SaJsonTemplate 反序列化业务 json 字符串的，建议升到 v1.46.0 ，并先把业务类型登记进白名单。
在线文档：JSON 序列化扩展 🔗
📡 更新点 12：修复 SSE / Flux 上下文未初始化，以及 Boot3 WebFlux setStatus
这两条都是社区报错工单：SSE 来自 Gitee #IC4XFE、#ICB9OJ；setStatus 来自 #IIAW1A、GitHub #916。
SSE / Flux
在之前的版本中，SpringMVC 接口如果返回 SseEmitter、Flux 等异步、流式结果，随后再调 StpUtil / SaHolder 会报：
cn.dev33.satoken.exception.SaTokenContextException: SaTokenContext 上下文尚未初始化
这是因为 Context Filter 只注册了 REQUEST。流式返回会再走一遍 ASYNC dispatch ，过滤器没挂上，ThreadLocal 上下文是空的。普通 @RequestMapping 一问一答不受影响。
新版本把 Filter 注册为 REQUEST + ASYNC，二次 dispatch 也会初始化上下文，一般不用再手改 Filter 。
Boot3+ WebFlux / Gateway setStatus
在之前的版本中，Boot3+ 的 WebFlux 或 Gateway 里调用：
SaHolder.getResponse().setStatus(401);
会报：
java.lang.NoSuchMethodError: 'org.springframework.http.server.reactive.ServerHttpResponse setStatusCode(org.springframework.http.HttpStatus)'
这是因为 Boot2 的 ServerHttpResponse.setStatusCode 吃 HttpStatus，Boot3 改成了 HttpStatusCode，旧 Reactor starter 字节码对不上。WebMVC 用户与这条无关。
新版本拆了 Boot2 / Boot3+ 的 Reactor 实现，Boot3+ 走 HttpStatusCode.valueOf(sc)，不再报错。sa-token-dependencies 也不再锁死 Reactor 版本，避免跟 Spring Cloud Gateway 打架。fix: #622
📚 更新点 13：文档站启用 .com 顶级域名，博客、多语言、安全策略
域名从 sa-token.cc 迁到 sa-token.com，请即使修改书签。独立博客上线；文档站暗色主题 5 种 IDE 风格； translate.js 多语言； README 有英/日/韩/俄/繁中。
随机数改用 SecureRandom。新增 SECURITY.md：安全问题走 GitHub Private Vulnerability Reporting 或邮件，不要开公开 Issue 。
文档版本选择器改为动态加载。Solon 插件由 PathAnalyzer 换成 PathMatcher 。
感谢 @Ran 补充 SECURITY.md（ fix #932、#877）；感谢 @noear 适配 Solon PathMatcher （ fix #IJTNJK）。
📜 完整更新日志
除了以上提到的几点以外，还有更多更新点无法逐一详细介绍，下面是 v1.46.0 版本的完整更新日志：
core：
插件：
starter：
Solon：
SSO：
OAuth2：
文档：
其它：
更新日志在线文档直达链接：https://sa-token.com/doc.html#/more/update-log
🌟 其它
代码仓库地址： https://gitee.com/dromara/sa-token
框架功能结构图：
