SpringSecurity-8-自动登录和注销功能实现

自动登录的实现

当我们在登录某一个网站的时候，我们会使用账号密码进行登录，但是我们不想每一次关闭浏览器，我们不想每一次重新输入账号和密码，贴合用户的登录体验，给用户带来方便，我们使用自动登录功能，将登录信息保存在浏览器的cookie中，这样用户在下次访问的时候，自动实现校验并新建登录状态。但是这样也会给用户带来信息泄露的危险。

自动登录流程

用户选择记住我登录成功后，会在服务端生成一个Cookie返回到浏览器，Cookie名字默认是remember-me,值是token
当用户重新访问的时候，会先检查remember-me的cookie对应的token值，如果token值存在则检查token值中的username、序列号和token值是否和服务端生成的相同，相同则通过。并且系统还会重新生成一个新的token,序列化series保持不变，同时删除旧的cookie，重新生成一个新的cookie保存在客户端
如果cookie不存在，或者username、序列化series和token和服务端的不一样，将重新返回到登录页面。

因为cookie有被盗用的可能，所以如果应用安全性比较高，那么就不要使用remember-me功能。

散列解密方案

SpringSecurity实现自动登录功能非常简单

修改login.html

我们需要在login.html中添加记住我功能，html实现如下

<!--suppress ALL-->
<!DOCTYPE html>

<html xmlns:th="http://www.thymeleaf.org" lang="en">
<head>
    <meta charset="utf-8">
    <meta http-equiv="X-UA-Compatible" content="IE=edge">
    <title>springboot葵花宝典登录页面</title>
    <!-- Tell the browser to be responsive to screen width -->
    <meta name="viewport" content="width=device-width, initial-scale=1">
</head>
<body>
<h1>springboot葵花宝典登录页面</h1>
<form  th:action="@{/login/form}" action="index.html" method="post">
    <span>用户名称</span><input type="text" name="username" /> <br>
    <span>用户密码</span><input type="password" name="password" /> <br>
    <div >
        <input name="code" type="text" class="form-control" placeholder="验证码">
        <img onclick="this.src='/code/image?'+Math.random()" src="/code/image" alt="验证码" />
    </div> <br>
    <span>记住我</span><input type="checkbox" name="remember-me" >  <br>
    <div th:if="${param.error}">
        <span th:text="${session.SPRING_SECURITY_LAST_EXCEPTION.message}" style="color:#ff0000">用户名或 密码错误</span>
    </div>
    <input type="submit" value="登陆">
</form>
</body>
</html>

复制代码

修改结果后登录页面展示如下：

修改LearnSrpingSecurity

在configure(HttpSecurity http)方法中添加记住我的配置，代码实现如下

测试

重新启动程序，使用浏览器访问http://localhost:8888/login/page，然后输入账号密码进行登录，结果如下

从图上我们可以看出来，勾选“Remember me”可选框（简写为Remember-me），按照正常的流程登录，并在开发者工具中查看浏览器cookie，可以看到除JSESSIONID外多了一个值。

cookie个性化配置

在实际的开发过程中，我们还可以根据需求做一些个性化的设置，如下：

.rememberMe()
    .rememberMeParameter("remember-me-new")
    .rememberMeCookieName("remember-me-cookie")

复制代码

通过rememberMeParameter设置from表单“自动登录”勾选框的参数名称。如果这里改了，from表单中checkbox的name属性要对应的更改。如果不设置默认是remember-me。
rememberMeCookieName设置了保存在浏览器端的cookie的名称，如果不设置默认也是remember-me。如下图中查看浏览器的cookie。

持久化令牌方案

持久化令牌方案是交互方式上和散列加密方案一致，都是用户勾选remember-me后，将生成的令牌发送到用户的客户端，用户在下次进行访问的时候会读取该令牌，不同的是会将数据保存到数据库中。

添加数据库依赖

我们在项目中的pom.xml中添加数据库依赖

   <!--mysql驱动-->
        <dependency>
            <groupId>mysql</groupId>
            <artifactId>mysql-connector-java</artifactId>
            <scope>runtime</scope>
        </dependency>
        <!--mybatis-plus-->
        <dependency>
            <groupId>com.baomidou</groupId>
            <artifactId>mybatis-plus-boot-starter</artifactId>
            <version>3.5.1</version>
        </dependency>

复制代码

application.yml中添加数据库配置

spring:
  thymeleaf:
    cache: false
  datasource:
    url: jdbc:mysql://localhost:3306/mybatis?useUnicode=true&serverTimezone=Asia/Shanghai&characterEncoding=utf-8&useSSL=false
    username: root
    password: root
    driver-class-name: com.mysql.cj.jdbc.Driver

复制代码

使用 JdbcTokenRepository 实现类

在LearnSrpingSecurity配置类中注入DataSource和JdbcTokenRepositoryImpl,实现如下

    @Autowired
    private DataSource dataSource;
    
    @Bean
    public JdbcTokenRepositoryImpl jdbcTokenRepository(){

        JdbcTokenRepositoryImpl jdbcTokenRepository = new JdbcTokenRepositoryImpl();
        jdbcTokenRepository.setDataSource(dataSource);
        jdbcTokenRepository.setCreateTableOnStartup(true);
        return jdbcTokenRepository;
    }


复制代码

安全配置 LearnSrpingSecurity#confifigure(HttpSecurity http)

在LearnSrpingSecurity的confifigure(HttpSecurity http)方法中添加如下配置

                .and()
                .rememberMe()
                .userDetailsService(customUserDetailsService)
                .tokenRepository(jdbcTokenRepository())
                .tokenValiditySeconds(60)
                .rememberMeParameter("remember-me-test")
                .rememberMeCookieName("remember-me-cookie")

复制代码

测试效果

重启项目后，数据库会自动创建表 persistent_logins
访问首页跳转到登录页面，登录成功后，查看浏览器 cookies，保存 token 值，在数据库中也有数据。
再重启，Session会清除。再次访问首页，不会跳转到登录页，因为上次已经记录了。这时浏览器Cookie中保存的token从数据库查找用户名，然后进行自动登录。

报错

Caused by: java.sql.SQLSyntaxErrorException: Table 'persistent_logins' already exists

解决方法：

将JdbcTokenRepositoryImpl方法中jdbcTokenRepository.setCreateTableOnStartup(true)注释掉

    @Bean
    public JdbcTokenRepositoryImpl jdbcTokenRepository(){

        JdbcTokenRepositoryImpl jdbcTokenRepository = new JdbcTokenRepositoryImpl();
        jdbcTokenRepository.setDataSource(dataSource);
        //jdbcTokenRepository.setCreateTableOnStartup(true);
        return jdbcTokenRepository;
    }

复制代码

退出系统

其实使用Spring Security进行logout非常简单，只需要在spring Security配置类配置项上加上这样一行代码:http.logout()。

修改index.html

我们在index.html中添加退出系统功能，实现如下

<!--suppress ALL-->
<!DOCTYPE html>
<html>
<head lang="en">
    <meta charset="UTF-8" />
    <title>springboot葵花宝典管理系统</title>
</head>
<body>
    <a th:href="@{/logout}" href="login.html"  > <span>退出系统</span> </a>
    <h1>springboot葵花宝典管理系统</h1>
    <br>
    <a href="/syslog">日志管理</a>
    <br>
    <a href="/sysuser">用户管理</a>
</body>

复制代码

测试

重新启动项目后，登录成功后展示页面如下,退出登录后，我们发现remember-me-cookie已经删除。虽然我们简简单单的实现了logout功能，是不是还不足够放心？我们下面就来看一下Spring Security默认在logout过程中帮我们做了哪些动作。

当前session失效，即：logout的核心需求，session失效就是访问权限的回收。
删除当前用户的 remember-me“记住我”功能信息
clear清除当前的 SecurityContext
重定向到登录页面，loginPage配置项指定的页面

个性化配置

虽然Spring Security默认使用了/logout作为退出处理请求路径，登录页面作为退出之后的跳转页面。这符合绝大多数的应用的开发逻辑，但有的时候我们需要一些个性化设置，如下

                .and()
                .logout()
                .logoutUrl("/logout")
                .logoutSuccessUrl("/login/page")
                .deleteCookies("JSESSIONID")

复制代码

指定logoutUrl配置修改默认的logout路径，同时html退出按钮的请求url也要修改
指定logoutSuccessUrl配置，指定退出之后的跳转页面
使用deleteCookies删除指定的cookie，参数为cookie的名称