Spring Security实现两周内自动登录"记住我"功能
本文是SpringSecurity系列中的一篇。在上一篇文章中，我们通过实现UserDetailsService和UserDetails接口，实现了动态的从数据库加载用户、角色、权限相关信息，从而实现了登录及授权相关的功能。这一节就在此基础上新增，登录过程中经常使用的“记住我”功能，也就是我们经常会在各种网站登陆时见到的"两周内免登录"，“三天内免登录”的功能。该功能的作用就是：当我们登录成功之后，一定的周期内当我们再次访问该网站，不需要重新登录。
一、最简实践
其实实现这个功能非常简单，只需要我们在重写WebSecurityConfigurerAdapter方法配置HttpSecurity的时候增加rememberMe()方法。（下面代码中省略了大量的关于SpringSecurity登录验证的配置，在本号此前的文章中已经讲过）
@Configuration
publicclassSecurityConfigextendsWebSecurityConfigurerAdapter{
@Override
protectedvoidconfigure(HttpSecurityhttp)throwsException{
http.rememberMe();//实现记住我自动登录配置，核心的代码只有这一行
}
}
然后在登录表单中加入一个checkbox勾选框，name属性的值目前必须是“remember-me”（个性化更改的方法后面会讲）。
就是这么简单，我们就实现了记住我功能，默认效果是：2周内免登录。
二、实现原理
很多朋友可能看了上面的实现过程心里都犯懵，这样就实现了？下面和大家说明一下这过程中间，都做了哪些事情。
- 当我们登陆的时候，除了用户名、密码，我们还可以勾选remember-me。
- 如果我们勾选了remember-me，当我们登录成功之后服务端会生成一个Cookie返回给浏览器，这个Cookie的名字默认是remember-me；值是一个token令牌。
- 当我们在有效期内再次访问应用时，经过RememberMeAuthenticationFilter,读取Cookie中的token进行验证。验正通过不需要再次登录就可以进行应用访问。
这个token令牌是一个MD5hash字符串：包含username、expirationTime和passwod和一个预定义的key，并将他们经过MD5加密。可能有的朋友会问：这样安全么？如果cookie被劫持，一定是不安全的，别人拿到了这个字符串在有效期内就可以访问你的应用。这就和你的钥匙token被盗了，你家肯定不安全是一个道理。但是不存在密码被破解为明文的可能性，MD5hash是不可逆的。
RememberMeAuthenticationFilter在SpringSecurity过滤器链中处于整体偏后的位置，所以只有当各种传统的登录方式都无法完成验证的情况下，才走RememberMeAuthenticationFilter，这也是符合实际需求的。
三、个性化配置
在实际的开发过程中，我们还可以根据需求做一些个性化的设置，如下：
.rememberMe()
.rememberMeParameter("remember-me-new")
.rememberMeCookieName("remember-me-cookie")
.tokenValiditySeconds(2*24*60*60);
tokenValiditySeconds用于设置token的有效期，即多长时间内可以免除重复登录，单位是秒。不修改配置情况下默认是2周。
通过rememberMeParameter设置from表单“自动登录”勾选框的参数名称。如果这里改了，from表单中checkbox的name属性要对应的更改。如果不设置默认是remember-me。
rememberMeCookieName设置了保存在浏览器端的cookie的名称，如果不设置默认也是remember-me。如下图中查看浏览器的cookie。
四、token数据库存储方式
上面我们讲的方式，就是最简单的实现“记住我-自动登录”功能的方式。这种方式的缺点在于：token与用户的对应关系是在内存中存储的，当我们重启应用之后所有的token都将消失，即：所有的用户必须重新登陆。为此，SpringSecurity还给我们提供了一种将token存储到数据库中的方式，重启应用也不受影响。
有的文章说使用数据库存储方式是因为这种方式更安全，笔者不这么认为。虽然数据库存储的token的确不再是用户名、密码MD5加密字符串了，而是一个随机序列号。但是一旦你的随机序列号cookie被劫持，效果是一样的。好比你家有把密码锁：你把钥匙丢了和你把密码丢了，危害性是一样的。
上图是token数据库存储方式的实现原理和验证过程，下面我们就来实现一下。首先，我们需要键一张数据库表persistent_logins:
CREATETABLE`persistent_logins`( `username`varchar(64)NOTNULL, `series`varchar(64)NOTNULL, `token`varchar(64)NOTNULL, `last_used`timestampNOTNULLDEFAULTCURRENT_TIMESTAMPONUPDATECURRENT_TIMESTAMP, PRIMARYKEY(`series`) )ENGINE=InnoDBDEFAULTCHARSET=utf8;
初始化一个PersistentTokenRepository类型的Springbean，并将系统使用的DataSource注入到该bean中。（当然前提一定是你已经在SpringBoot的application.yml中配置好DataSource相关的连接属性，这里不再赘述）
@Autowired
privateDataSourcedataSource;
@Bean
publicPersistentTokenRepositorypersistentTokenRepository(){
JdbcTokenRepositoryImpltokenRepository=newJdbcTokenRepositoryImpl();
tokenRepository.setDataSource(dataSource);
returntokenRepository;
}
最后在SpringSecurity配置方法configure(HttpSecurityhttp)加上如下的个性化配置：
.rememberMe() .tokenRepository(persistentTokenRepository())
总结
以上所述是小编给大家介绍的SpringSecurity实现两周内自动登录"记住我"功能，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对毛票票网站的支持！
如果你觉得本文对你有帮助，欢迎转载，烦请注明出处，谢谢！
声明：本文内容来源于网络，版权归原作者所有，内容由互联网用户自发贡献自行上传，本网站不拥有所有权，未作人工编辑处理，也不承担相关法律责任。如果您发现有涉嫌版权的内容，欢迎发送邮件至：czq8825#qq.com（发邮件时，请将#更换为@）进行举报，并提供相关证据，一经查实，本站将立刻删除涉嫌侵权内容。