源码地址：https://github.com/springsecuritydemo/microservice-auth-center02
在上一章入门案例
中，我们实现了入门程序，本篇我们在上一章的基础上完成自动登录功能。
一、修改登录页面：login.html
在登录页面中添加自动登录复选框，自动登录字段名必须为：remember-me
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>登陆</title>
</head>
<body>
<h1>登陆</h1>
<form method="post" action="/login">
<div>
用户名：<input type="text" name="username">
</div>
<div>
密 码：<input type="password" name="password">
</div>
<div>
<label><input type="checkbox" name="remember-me"/>自动登录</label>
</div>
<div>
<button type="submit">立即登陆</button>
</div>
</form>
</body>
</html>
二、自动登录两种实现方式
2.1 Cookie 存储
这种方式十分简单，只需要在 WebSecurityConfig 中的 configure() 方法中添加一个 rememberMe() 即可，代码如下：
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
private CustomUserDetailsService userDetailsService;
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.userDetailsService(userDetailsService).passwordEncoder(new BCryptPasswordEncoder());
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
// 如果有允许匿名的url，填在下面
// .antMatchers().permitAll()
.anyRequest().authenticated()
.and()
// 设置登陆页
.formLogin().loginPage("/login")
// 设置登陆成功页
.defaultSuccessUrl("/").permitAll()
// 自定义登陆用户名和密码参数，默认为username和password
// .usernameParameter("username")
// .passwordParameter("password")
.and()
.logout().permitAll()
// 自动登录
.and().rememberMe();
// 关闭CSRF跨域
http.csrf().disable();
}
@Override
public void configure(WebSecurity web) throws Exception {
// 设置拦截忽略文件夹，可以对静态资源放行
web.ignoring().antMatchers("/css/**", "/js/**");
}
}
当我们登录时勾选【自动登录】时，会自动在 Cookie 中保存一个名为 remember-me 的cookie，默认有效期为2周，其值是一个加密字符串：
当再次访问系统首页时，浏览器会携带这个 cookie 进行访问，SpringSecurity校验Cookie的有效性，完成自动登录。
2.2 数据库存储
使用 Cookie 存储虽然方便，但是大家都知道 Cookie 毕竟是保存在客户端的，而且 Cookie 的值还与用户名、密码这些敏感信息有关，虽然加密了，但是将这些敏感信息存在客户端，毕竟不太保险。（万一遇到黑客给黑了就尴尬了┭┮﹏┭┮）
**SpringSecurity 还提供了另一种相对安全的实现机制： **
- 在客户端的 Cookie中，仅保存一个无意义的加密串（与用户名和密码等敏感信息无关），然后在数据库中保存该加密串 - 用户信息的对应关系，自动登录时，用 Cookie 中的加密串，到数据库验证，如果通过，自动登录才算成功。
2.2.1 基本原理
当浏览器发起表单登录请求时，当通过 UsernamePasswordAuthenticationFilter 认证成功后，会经过 RememberMeService, 在其中有个 TokenRepository ， 它会生成一个 token， 首先将 token 写入到浏览器的 Cookie中，然后将 token、认证成功的用户名写入到数据库中。
当浏览器下次请求时，会经过 RememberMeAuthenticationFilter，它会读取 Cookie 中的 token，交给 RememberMeService ，获取用户信息，并将用户信息放入到 SpringSecurity 中，实现自动登录。
RememberMeAuthenticationFilter在整个过滤器链中是比较靠后的位置，也就是说在传统的登录方式都无法登录情况下才会使用自动登录。
2.2.2 代码实现
在 WebSecurityConfig 中注入 dataSource ，创建一个 PersistentTokenRepository 的Bean对象：
@Autowired
private DataSource dataSource;
@Bean
public PersistentTokenRepository persistentTokenRepository() {
JdbcTokenRepositoryImpl tokenRepository = new JdbcTokenRepositoryImpl();
tokenRepository.setDataSource(dataSource);
// 如果token表不存在，使用下面可以自动初始化表结构，如果已经存在，请注释掉，否则会报错
// tokenRepository.setCreateTableOnStartup(true);
return tokenRepository;
}
在 config() 中配置自动登录：
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
// 如果有允许匿名的url，填在下面
// .antMatchers().permitAll()
.anyRequest().authenticated()
.and()
// 设置登陆页
.formLogin().loginPage("/login")
// 设置登陆成功页
.defaultSuccessUrl("/").permitAll()
// 自定义登陆用户名和密码参数，默认为username和password
// .usernameParameter("username")
// .passwordParameter("password")
.and()
.logout().permitAll()
// 自动登录
.and().rememberMe()
.tokenRepository(persistentTokenRepository())
// 有效时间，单位：s
.tokenValiditySeconds(60)
.userDetailsService(userDetailsService);
// 关闭CSRF跨域
http.csrf().disable();
}
初次启动，如果配置自动生成token表结构，会默认在数据库中生成：
表结构：
CREATE TABLE `persistent_logins` (
`username` varchar(64) NOT NULL,
`series` varchar(64) NOT NULL,
`token` varchar(64) NOT NULL,
`last_used` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
PRIMARY KEY (`series`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;
生产环境推荐，手动创建表，免得再修改代码配置
三、运行测试
勾选自动登录后，Cookie 和数据库中均存储了 token 信息：
关闭浏览器，在cookie没有过期之前，直接访问 http://localhost:9000/ 系统首页无需登录可直接访问。
网友评论