关于后端:Spring-Security-配置-Remember-Me

本教程将展现 如何应用 Spring Security 在 Web 应用程序中启用和配置 Remember Me。之前曾经探讨过设置平安和简略表单登录的 MVC 应用程序。

该机制将可能 跨多个会话辨认用户——首先要理解的是，Remember Me 仅在会话超时后才会启动。默认状况下，用户在 30 分钟不沉闷后会超时，但在 web.xml 中能够配置超时工夫。

留神：本教程重点介绍 基于规范 cookie 的办法。对于长久化办法，请查看 Spring Security — Persistent Remember Me 指南。

让咱们看看如何应用 Java 设置平安配置：

@Configuration
@EnableWebSecurity
public class SecSecurityConfig extends WebSecurityConfigurerAdapter {@Bean("authenticationManager")
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {return super.authenticationManagerBean();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {auth.inMemoryAuthentication()
            .withUser("user1").password("{noop}user1Pass").roles("USER")
            .and()
            .withUser("admin1").password("{noop}admin1Pass").roles("ADMIN");
    }

    @Override
    protected void configure(final HttpSecurity http) throws Exception {http.authorizeRequests()
            .antMatchers("/anonymous*").anonymous()
            .antMatchers("/login*").permitAll()
            .anyRequest().authenticated()
            
            .and()
            .formLogin()
            .loginPage("/login.html")
            .loginProcessingUrl("/login")
            .failureUrl("/login.html?error=true")
            
            .and()
            .logout().deleteCookies("JSESSIONID")
            
            .and()
            .rememberMe().key("uniqueAndSecret")
            ;
    }
}

如您所见，应用 rememberMe() 的根本配置 非常简单，同时通过附加选项保障可扩展性。key 在这里很重要——它是整个应用程序的公有秘钥，将在生成令牌的内容时应用。

此外，能够应用 tokenValiditySeconds() 将 令牌无效工夫从默认的 2 周配置为 – 例如 – 一天：

rememberMe().key("uniqueAndSecret").tokenValiditySeconds(86400)

咱们还能够看看等价的 XML 配置：

<http use-expressions="true">
    <intercept-url pattern="/anonymous*" access="isAnonymous()" />
    <intercept-url pattern="/login*" access="permitAll" />
    <intercept-url pattern="/**" access="isAuthenticated()" />

    <form-login login-page='/login.html'
      authentication-failure-url="/login.html?error=true" />
    <logout delete-cookies="JSESSIONID" />

    <remember-me key="uniqueAndSecret"/>
</http>

<authentication-manager id="authenticationManager">
    <authentication-provider>
        <user-service>
            <user name="user1" password="{noop}user1Pass" authorities="ROLE_USER" />
            <user name="admin1" password="{noop}admin1Pass" authorities="ROLE_ADMIN" />
        </user-service>
    </authentication-provider>
</authentication-manager>

登录表单相似于咱们用于表单登录的那个：

<html>
<head></head>

<body>
    <h1>Login</h1>

    <form name='f' action="login" method='POST'>
        <table>
            <tr>
                <td>User:</td>
                <td><input type='text' name='username' value=''></td>
            </tr>
            <tr>
                <td>Password:</td>
                <td><input type='password' name='password' /></td>
            </tr>
            <tr>
                <td>Remember Me:</td>
                <td><input type="checkbox" name="remember-me" /></td>
            </tr>
            <tr>
                <td><input name="submit" type="submit" value="submit" /></td>
            </tr>
        </table>
    </form>

</body>
</html>

留神新增加的 checkbox 输出会映射到 remember-me。这个增加的输出足以在 Remember Me 激活的状况下登录。

此默认门路也能够更改为：

.rememberMe().rememberMeParameter("remember-me-new")

该机制将在用户登录时创立一个额定的 cookie——”remember-me” cookie。

Remember Me cookie 蕴含以下数据：

用户名 — 标识登录的主体
expirationTime — 使 cookie 过期；默认为 2 周
MD5 hash — 前 2 个值的 — username 和 expirationTime，加上 password 和预约义的 key

这里首先要留神的是 username 和 password 都是 cookie 的一部分——这意味着，如果其中任何一个被更改，cookie 将不再无效。此外，能够从 cookie 中读取 username。

此外，如果 Remember Me 的 cookie 被捕捉，此机制可能会受到攻打。cookie 将是无效且可用的，直到它过期或更改凭据。

要查看 Remember Me 机制的工作状况，您须要：

登录时记得我沉闷
期待会话过期（或删除浏览器中的 JSESSIONID cookie）
刷新页面

如果 Remember Me 曾经生效，cookie 过期后用户应该被 redirected back to the login page。登录当前用户会在 在新令牌 /cookie 的帮忙下放弃登录状态。

本教程展现了如何在平安配置中设置和配置 Remember Me，并简要形容了记录在 cookie 的数据类型。

具体实现能够在示例 Github 我的项目 — 这是一个基于 Eclipse 的我的项目，所以它应该很容易导入和运行。

当我的项目在本地运行时，能够在 [localhost] 上拜访 login.html（http://localhost:8080/spring-… “Access the project on localhost”）。

本文由博客一文多发平台 OpenWrite 公布！

关于后端:Spring-Security-配置-Remember-Me

1。概述

2。平安配置

3。登录表格

4。Cookie

5。理论应用

6。论断