Spring Security 中的 RememberMe 登录，so easy！

迷南。 2023-09-23 16:35 46阅读 0赞

## 1. RememberMe简介 ##

RememberMe 这个功能非常常见，图 6-1 所示就是 QQ 邮箱登录时的“记住我”选项。

![2c3cd9fa94889980e6bcfbeb9889b5d7.png][]

提到 RememberMe，一些初学者往往会有一些误解，认为 RememberMe 功能就是把用户名/密码用 Cookie 保存在浏览器中，下次登录时不用再次输入用户名/密码。这个理解显然是不对的。

我们这里所说的 RememberMe 是一种服务器端的行为。传统的登录方式基于 Session 会话，一旦用户关闭浏览器重新打开，就要再次登录，这样太过于烦琐。如果能有一种机制，让用户关闭并重新打开浏览器之后，还能继续保持认证状态，就会方便很多，RememberMe 就是为了解决这一需求而生的。

具体的实现思路就是通过 Cookie 来记录当前用户身份。当用户登录成功之后，会通过一定的算法，将用户信息、时间戳等进行加密，加密完成后，通过响应头带回前端存储在 Cookie 中，当浏览器关闭之后重新打开，如果再次访问该网站，会自动将 Cookie 中的信息发送给服务器，服务器对 Cookie 中的信息进行校验分析，进而确定出用户的身份，Cookie 中所保存的用户信息也是有时效的，例如三天、一周等。敏锐的读者可能已经发现这种方式是存在安全隐患的。所谓鱼与熊掌不可兼得，要想使用便利，就要牺牲一定的安全性，不过在本章中，我们将会介绍通过持久化令牌以及二次校验来降低使用 RememberMe 所带来的安全风险。

## 2. RememberMe基本用法 ##

我们先来看一种最简单的用法。

首先创建一个 Spring Boot 工程，引入 spring-boot-starter-security 依赖。工程创建成功后，添加一个 HelloController 并创建一个测试接口，代码如下：

@RestController
    public class HelloController {
        @GetMapping("/hello")
        public String hello() {
            return "hello";
        }
    }

然后创建 SecurityConfig 配置文件：

@Configuration
    public class SecurityConfig extends WebSecurityConfigurerAdapter {
        @Bean
        PasswordEncoder passwordEncoder() {
            return NoOpPasswordEncoder.getInstance();
        }
        @Override
        protected void configure(AuthenticationManagerBuilder auth) 
                                                                     throws Exception {
            auth.inMemoryAuthentication()
                    .withUser("javaboy")
                    .password("123")
                    .roles("admin");
        }
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.authorizeRequests()
                    .anyRequest().authenticated()
                    .and()
                    .formLogin()
                    .and()
                    .rememberMe()
                    .key("javaboy")
                    .and()
                    .csrf().disable();
        }
    }

这里我们主要是调用了 HttpSecurity 中的 rememberMe 方法并配置了一个 key，该方法最终会向过滤器链中添加 RememberMeAuthenticationFilter 过滤器。

配置完成后，启动项目，当我们访问 `/hello` 接口时，会自动重定向到登录页面，如图 6-2 所示。

![2bc1436d877aa2978ed589a72e44da33.png][]

可以看到，此时的默认登录页面多了一个 RememberMe 选项，勾选上 RememberMe，登录成功之后，我们就可以访问 `/hello` 接口了。访问完成后，关闭浏览器再重新打开，此时不需要登录就可以直接访问 `/hello` 接口；同时，如果关闭掉服务端重新打开，再去访问 `/hello`接口，发现此时也不需要登录了。

那么这一切是怎么实现的呢？打开浏览器控制台，我们来分析整个登录过程。

首先，当我们单击登录按钮时，多了一个请求参数 remember-me，如图6-3所示。

![9d159ff039eb28620176f068954405df.png][]

很明显，remember-me 参数就是用来告诉服务端是否开启 RememberMe 功能，如果开发者自定义登录页面，那么默认情况下，是否开启 RememberMe 的参数就是 remember-me。

当请求成功后，在响应头中多出了一个 Set-Cookie，如图 6-4 所示。

![389495b85d47127476c4b4693df0c322.png][]

在响应头中给出了一个 remember-me 字符串。以后所有请求的请求头 Cookie 字段，都会自动携带上这个令牌，服务端利用该令牌可以校验用户身份是否合法。

大致的流程就是这样，但是大家发现这种方式安全隐患很大，一旦 remember-me 令牌泄漏，恶意用户就可以拿着这个令牌去随意访问系统资源。持久化令牌和二次校验可以在一定程度上降低该问题带来的风险。

## 3. 持久化令牌 ##

使用持久化令牌实现 RememberMe 的体验和使用普通令牌的登录体验是一样的，不同的是服务端所做的事情变了。

持久化令牌在普通令牌的基础上，新增了 series 和 token 两个校验参数，当使用用户名/密码的方式登录时，series 才会自动更新；而一旦有了新的会话，token 就会重新生成。所以，如果令牌被人盗用，一旦对方基于 RememberMe 登录成功后，就会生成新的 token，你自己的登录令牌就会失效，这样就能及时发现账户泄漏并作出处理，比如清除自动登录令牌、通知用户账户泄漏等。

Spring Security中对于持久化令牌提供了两种实现：

*  JdbcTokenRepositoryImpl
 *  InMemoryTokenRepositoryImpl

前者是基于 JdbcTemplate 来操作数据库，后者则是操作存储在内存中的数据。由于 InMemoryTokenRepositoryImpl 的使用场景很少，因此这里主要介绍基于 JdbcTokenRepositoryImpl 的配置。

首先创建一个 security06 数据库，然后我们需要一张表来记录令牌信息，创建表的 SQL 脚本在在 `JdbcTokenRepositoryImpl` 类中的 `CREATE_TABLE_SQL` 变量上已经定义好了，代码如下：

public static final String CREATE_TABLE_SQL = "create table persistent_logins 
    (username varchar(64) not null, series varchar(64) primary key, " 
    + "token varchar(64) not null, last_used timestamp not null)";

我们直接将变量中定义的 SQL 脚本拷贝出来到数据库中执行，生成一张 persistent\_logins 表用来记录令牌信息。persistent\_logins 表一共就四个字段：username 表示登录用户名、series 表示生成的 series 字符串、token 表示生成的 token 字符串、last\_used 则表示上次使用时间。

接下来，在项目中引入 JdbcTemplate 依赖和 MySQL 数据库驱动依赖：

<dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-jdbc</artifactId>
    </dependency>
    <dependency>
        <groupId>mysql</groupId>
        <artifactId>mysql-connector-java</artifactId>
    </dependency>

然后在 application.properties 中配置数据库连接信息：

spring.datasource.url=jdbc:mysql:///security06?useUnicode=true&characterEncod
    ing=UTF-8&serverTimezone=Asia/Shanghai
    spring.datasource.username=root
    spring.datasource.password=123

最后修改 SecurityConfig：

@Configuration
    public class SecurityConfig extends WebSecurityConfigurerAdapter {
        @Autowired
        DataSource dataSource;
        @Bean
        JdbcTokenRepositoryImpl jdbcTokenRepository() {
            JdbcTokenRepositoryImpl jdbcTokenRepository = 
                                                       new JdbcTokenRepositoryImpl();
            jdbcTokenRepository.setDataSource(dataSource);
            return jdbcTokenRepository;
        }
        @Bean
        PasswordEncoder passwordEncoder() {
            return NoOpPasswordEncoder.getInstance();
        }
        @Override
        protected void configure(AuthenticationManagerBuilder auth) 
                                                                      throws Exception {
            auth.inMemoryAuthentication()
                    .withUser("javaboy")
                    .password("123")
                    .roles("admin");
        }
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.authorizeRequests()
                    .anyRequest().authenticated()
                    .and()
                    .formLogin()
                    .and()
                    .rememberMe()
                    .tokenRepository(jdbcTokenRepository())
                    .and()
                    .csrf().disable();
        }
    }

在配置中我们提供了一个 JdbcTokenRepositoryImpl 实例，并为其配置了数据源，最后在配置 RememberMe 时通过 tokenRepository 方法指定 JdbcTokenRepositoryImpl 实例。

配置完成后，启动项目并进行登录测试。登录成功后，我们发现数据库表中多了一条记录，如图6-5所示。

![8b552b9a2d7eee0712d90302e096d4a6.png][]

此时如果关闭浏览器重新打开，再去访问 `/hello` 接口，访问时并不需要登录，但是访问成功之后，数据库中的 `token` 字段会发生变化。同时，如果服务端重启之后，浏览器再去访问 `/hello` 接口，依然不需要登录，但是 `token` 字段也会更新，因为这两种情况中都有新会话的建立，所以 `token` 会更新，而 `series` 则不会更新。当然，如果用户注销登录，则数据库中和该用户相关的登录记录会自动清除。

可以看到，持久化令牌比前面的普通令牌安全系数提高了不少，但是依然存在风险。安全问题和用户的使用便捷性就像一个悖论，想要用户使用方便，不可避免地要牺牲一点安全性。对于开发者而言，要做的就是如何将系统存在的安全风险降到最低。

那么怎么办呢？二次校验可以帮助我们进一步降低风险。。。

[2c3cd9fa94889980e6bcfbeb9889b5d7.png]: https://img-blog.csdnimg.cn/img_convert/2c3cd9fa94889980e6bcfbeb9889b5d7.png
[2bc1436d877aa2978ed589a72e44da33.png]: https://img-blog.csdnimg.cn/img_convert/2bc1436d877aa2978ed589a72e44da33.png
[9d159ff039eb28620176f068954405df.png]: https://img-blog.csdnimg.cn/img_convert/9d159ff039eb28620176f068954405df.png
[389495b85d47127476c4b4693df0c322.png]: https://img-blog.csdnimg.cn/img_convert/389495b85d47127476c4b4693df0c322.png
[8b552b9a2d7eee0712d90302e096d4a6.png]: https://img-blog.csdnimg.cn/img_convert/8b552b9a2d7eee0712d90302e096d4a6.png