自动登录

自动登录是将用户的登录信息保存在用户浏览器的cookie中，当用户下次访问时，自动实现校验并建立登录态的一种机制。
Spring Security提供了两种非常好的令牌：

散列算法加密用户必要的登录信息并生成令牌

数据库等持久性数据存储机制用的持久化令牌

散列加密方案

在Spring Security中加入自动登录的功能非常简单：

@Override protected void configure(HttpSecurity http) throws Exception { http.authorizeRequests() .antMatchers("/api/user/**").hasRole("user") //user 角色访问/api/user/开头的路由 .antMatchers("/api/admin/**").hasRole("admin") //admin 角色访问/api/admin/开头的路由 .antMatchers("/api/public/**").permitAll() //允许所有可以访问/api/public/开头的路由 .and() .formLogin() .and() .rememberMe().userDetailsService(userDetailsService()); //记住密码 }

重启服务后访问受限 API，这次在表单登录页中多了一个可选框:

勾选“Remember me on this computer”可选框（简写为Remember-me），按照正常的流程登录，并在开发者工具中查看浏览器cookie，可以看到除JSESSIONID外多了一个值：

这是Spring Security默认自动登录的cookie字段。在不配置的情况下，过期时间是两个星期:

Spring Security会在每次表单登录成功之后更新此令牌，具体处理方式在源码中:

RememberConfigurer:

在持久化令牌方案中，最核心的是series和token两个值，它们都是用MD5散列过的随机字符串。不同的是，series仅在用户使用密码重新登录时更新，而token会在每一个新的session中都重新生成。
解决了散列加密方案中一个令牌可以同时在多端登录的问题。每个会话都会引发token的更
新，即每个token仅支持单实例登录。
自动登录不会导致series变更，而每次自动登录都需要同时验证series和token两个值，当该
令牌还未使用过自动登录就被盗取时，系统会在非法用户验证通过后刷新 token 值，此时在合法用户
的浏览器中，该token值已经失效。当合法用户使用自动登录时，由于该series对应的 token 不同，系统
可以推断该令牌可能已被盗用，从而做一些处理。例如，清理该用户的所有自动登录令牌，并通知该
用户可能已被盗号等
Spring Security使用PersistentRememberMeToken来表明一个验证实体:

public class PersistentRememberMeToken { private final String username; private final String series; private final String tokenValue; private final Date date; public PersistentRememberMeToken(String username, String series, String tokenValue, Date date) { this.username = username; this.series = series; this.tokenValue = tokenValue; this.date = date; } public String getUsername() { return this.username; } public String getSeries() { return this.series; } public String getTokenValue() { return this.tokenValue; } public Date getDate() { return this.date; } }

需要使用持久化令牌方案,需要传入PersistentTokenRepository的实例：

PersistentTokenRepository接口主要涉及token的增删查改四个接口：