自动登录

第 12 章 自动登录

如果用户一直使用同一台电脑上网，那么他可能希望不要每次上网都要进行登录这道程序，他们希望系统可以记住自己一段时间，这样用户就可以无需登录直接登录系统，使用其中的功能。rememberMe就给我们提供了这样一种便捷途径。

12.1. 默认策略

在配置文件中使用auto-config="true"就会自动启用rememberMe，之后，只要用户在登录时选中checkbox就可以实现下次无需登录直接进入系统的功能。

图 12.1. 选中rememberMe

默认有效时间是两周，启用rememberMe之后的两周内，用户都可以直接跳过系统，直接进入系统。

实际上，Spring Security中的rememberMe是依赖cookie实现的，当用户在登录时选择使用rememberMe，系统就会在登录成功后将为用户生成一个唯一标识，并将这个标识保存进cookie中，我们可以通过浏览器查看用户电脑中的cookie。

图 12.2. rememberMe cookie

从上图中，我们可以看到Spring Security生成的cookie名称是SPRING_SECURITY_REMEMBER_ME_COOKIE，它的内容是一串加密的字符串，当用户再次访问系统时，Spring Security将从这个cookie读取用户信息，并加以验证。如果可以证实cookie有效，就会自动将用户登录到系统中，并为用户授予对应的权限。

12.2. 持久化策略

rememberMe的默认策略会将username和过期时间保存到客户主机上的cookie中，虽然这些信息都已经进行过加密处理，不过我们还可以使用安全级别更高的持久化策略。在持久化策略中，客户主机cookie中保存的不再用username，而是由系统自动生成的序列号，在验证时系统会将客户cookie中保存的序列号与数据库中保存的序列号进行比对，以确认客户请求的有效性，之后在比对成功后才会从数据库中取出对应的客户信息，继续进行认证和授权等工作。这样即使客户本地的cookie遭到破解，攻击者也只能获得一个序列号，而不是用户的登录账号。

如果希望使用持久化策略，我们需要先在数据库中创建rememberMe所需的表。

create table persistent_logins (
    username varchar(64) not null,
    series varchar(64) primary key,
    token varchar(64) not null,
    last_used timestamp not null
);
        

然后要为配置文件中添加与数据库的链接。

<bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource">
    <property name="driverClassName" value="org.hsqldb.jdbcDriver"/>
    <property name="url" value="jdbc:hsqldb:res:/hsqldb/test"/>
    <property name="username" value="sa"/>
    <property name="password" value=""/>
</bean>
        

最后修改http中的配置，为remember-me添加data-source-ref即可，Spring Security会在初始化时判断是否存在data-source-ref属性，如果存在就会使用持久化策略，否则会使用上述的默认策略。

<http auto-config='true'>
    <intercept-url pattern="/admin.jsp" access="ROLE_ADMIN" />
    <intercept-url pattern="/**" access="ROLE_USER" />
    <remember-me data-source-ref="dataSource"/>
</http>
        

注意

默认策略和持久化策略是不能混用的，如果你首先在应用中使用过默认策略的rememberMe，未等系统过期便换成了持久化策略，之前保留的cookie也无法通过系统验证，实际上系统会将cookie当做无效标识进行清除。同样的，持久化策略中生成的cookie也无法用在默认策略下。