1.RememberMe简介及用法
1.基本简介
RememberMe功能十分常见，如下图的QQ邮箱登录时的“记住我”的功能选项。
这里读者朋友们可能会有一个常见误区，“记住我”就是把用户的用户名/密码使用Cookie保存在浏览器，下次登录时不用再次输入，这个理解是非常不对的。
我们这里所说的RememberMe是一种服务器端的行为。传统的登录方式基于Session会话，一旦用户关闭浏览器重新打开，就要重新登录，这样太过于烦琐，如果有一种机制可以让用户关闭并重新打开浏览器之后，还能保持登录状态就会方便很多，这种实现之一就是RememberMe。
其大概实现如下面的流程所示，但是读者可能也发现这种将用户密码保存在浏览器的行为存在安全隐患。
打开网页登录
前端Cookie记录
用户第一次登录
打开网页
后端服务器
用户第二次登录
自动将Cookie发送给服务器
对Cookie信息校验
Cookie是否有效
自动进入系统
有效
跳转至登录页面
重新走登录流程
无效
2.基本用法
在前两天的内容后，我们直接在原有代码修改，增添RememberMe功能。
1.注册配置信息
Java
运行代码
复制代码
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
package com.yzxb.SpringSecurity.config;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.password.NoOpPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Bean
PasswordEncoder passwordEncoder() {
return NoOpPasswordEncoder.getInstance();
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.anyRequest().authenticated()
.and()
.formLogin()
.and()
.rememberMe()
.key("ikun")
.and()
.csrf().disable();
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.inMemoryAuthentication()
.withUser("ikun")
.password("5201314")
.roles("admin");
}
}
2.重启验证功能
此时重启项目，访问我们原来的接口：http://localhost:8080/demo/index，会发现登录窗口多了一个勾选框，当我们勾选之后，登录。之后关闭浏览器再次访问上述地址，就会发现无需重复登录了。
注意这里不要重启后端服务
那么这一切就因为多了一个勾选框就实现的流程，到底是怎么实现的呢？我们大概可以猜出来他会告诉服务端是否开启RememberMe功能，当请求后，我们会发现响应头多了一个Set-Cookie参数，如下图：
在响应头给了一个remember-me的字符串，以后所有的请求头Cookie字段都会自动携带这个令牌，服务端可以利用该令牌校验用户身份是否合法。
大致流程如上所述，但是读者们应该想起来我们前面说的问题了，这种令牌一旦泄露，不怀好意的Ikun们可以拿这个令牌随意访问系统，从而给系统带来风险和性能压力。怎么优化呢？
类似于我们前面的自定义认证一样，将Token持久化到DB即可。这里我们也可以做进一步的二次校验，从而保证系统的全局安全。
