SpringSecurity rememberme功能实现过程解析

下面我给你详细讲解“SpringSecurity rememberme功能实现过程解析”的完整攻略。

1. 简介

Spring Security是一个流行的安全框架，可以为Web应用程序提供身份验证和授权的服务。其中的rememberme功能可以帮助用户在登出后不必重新登录，便能够快速访问应用程序。其实现原理是利用cookie存储用户登录凭据并在下次登录时使用。

2. 实现过程

2.1. 开启Remember-me记住我功能

要开启Remember-me功能，我们需要在Spring Security的配置文件中进行相关配置。这里提供两种配置方式，一种是通过Java配置实现，另一种则是通过XML配置实现。

使用Java配置实现

在Spring Security的配置类中添加如下配置：

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private DataSource dataSource; // 数据源

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()
                .antMatchers("/admin").hasRole("ADMIN")
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .rememberMe() // 开启记住我功能
                .key("yourSecretKey") // cookie中的key
                .tokenRepository(persistentTokenRepository())
                .tokenValiditySeconds(60 * 60 * 24 * 7) // cookie有效期
                .and()
            .logout()
                .permitAll();
    }

    @Autowired
    protected void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.jdbcAuthentication()
            .dataSource(dataSource)
            .passwordEncoder(passwordEncoder())
            .usersByUsernameQuery("select username,password,enabled from users where username=?")
            .authoritiesByUsernameQuery("select username,role from user_roles where username=?");
    }

    @Override
    public void configure(WebSecurity web) throws Exception {
        web
            .ignoring()
                .antMatchers("/resources/**", "/static/**", "/css/**", "/js/**", "/images/**");
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public PersistentTokenRepository persistentTokenRepository() {
        JdbcTokenRepositoryImpl tokenRepositoryImpl = new JdbcTokenRepositoryImpl();
        tokenRepositoryImpl.setDataSource(dataSource);
        return tokenRepositoryImpl;
    }

}

以上代码中，我们通过调用记住我功能的rememberMe()方法，来开启Spring Security的记住我功能。记住我功能的key用于防止cookie被篡改，需要设置为一个随机字符串；tokenRepository()则是用于将token存储到数据库中，而不是简单地存储在cookie中；tokenValiditySeconds设置cookie的有效期。

使用XML配置实现

在XML配置文件中，可以通过以下配置来开启记住我功能：

<http ...>
    ...
    <remember-me key="yourSecretKey" token-validity-seconds="604800"
        token-repository-ref="persistentTokenRepository" />
    ...
</http>

<beans:bean id="persistentTokenRepository"
    class="org.springframework.security.web.authentication.rememberme.JdbcTokenRepositoryImpl">
    <beans:property name="dataSource" ref="dataSource" />
</beans:bean>

以上代码中，我们使用<remember-me>元素来开启记住我功能，然后设置了key和有效期，其中key用于生成cookie，token-validity-seconds将token的有效期设置为7天。

2.2. 记住我功能登录/登出流程

在用户使用记住我功能时，系统会在用户登录后在cookie中存储一个token和key。用户再次访问应用程序时，Spring Security将会自动读取cookie中的token，并使用它来自动登录。这个流程包括以下几个步骤：

• 用户输入用户名和密码，选择“记住我”并点击登录按钮；
• Spring Security验证用户名和密码，如果匹配成功，则生成一个token，并将它存储在数据库中，同时将token和key通过cookie返回给浏览器；
• 用户退出登录后，Spring Security从数据库中删除对应的token；
• 当用户再次打开应用程序时，Spring Security自动读取cookie中的token，并使用它来自动登录。

与普通登录相比，记住我功能实现登录的另一种方式是使用token自动登录，其过程类似于第3步和第4步，如下示例：

@PostMapping("/login")
public String submitLogin(HttpServletRequest request, HttpServletResponse response,
                          @RequestParam String username, @RequestParam String password,
                          @RequestParam(required = false) String rememberMe) {
    UsernamePasswordAuthenticationToken token = new UsernamePasswordAuthenticationToken(username, password);
    if ("on".equals(rememberMe)) {
        token.setDetails(new WebAuthenticationDetails(request));
    }
    Authentication authenticatedUser = authenticationManager.authenticate(token);
    SecurityContextHolder.getContext().setAuthentication(authenticatedUser);
    if (authenticatedUser.isAuthenticated()) {
        if ("on".equals(rememberMe)) {
            rememberMeServices.loginSuccess(request, response, authenticatedUser);
        }
        return "redirect:/home";
    } else {
        return "redirect:/login?error=true";
    }
}

@GetMapping("/home")
public String home(HttpServletRequest request, Model model) {
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    model.addAttribute("username", authentication.getName());
    return "home";
}

以上代码中，我们在submitLogin()方法中手动创建一个UsernamePasswordAuthenticationToken对象，并通过RememberMeAuthenticationFilter来进行认证。如果认证成功，我们通过SecurityContextHolder将当前用户的认证信息保存在本地线程中。之后，在访问/home页面时，我们只需要从SecurityContextHolder中获取当前用户的认证信息即可。

至此，我们已经完成了“Spring Security Remember-me功能的实现过程解析”这一主题，希望能对你有所帮助。