28、Spring Security 功能详解：用户认证与方法安全

Spring Security 功能详解：用户认证与方法安全

1. 用户认证与记住我功能

在应用程序中，用户认证是保障安全的重要环节。无论是基于数据库还是 LDAP 目录进行用户认证，若能让用户无需每次访问应用都进行直接认证，会带来极大的便利。接下来，我们将探讨如何配置 Spring Security 以实现记住用户的功能，避免用户每次访问都需登录。

1.1 启用记住我功能

Spring Security 使得为应用添加记住我功能变得简单。要开启此功能，只需在 <http> 元素内添加 <remember-me> 元素，示例如下：

<http auto-config="true" use-expressions="true">
    ...
    <remember-me
        key="spitterKey"
        token-validity-seconds="2419200" />
</http>

上述配置不仅开启了记住我功能，还进行了一些特殊设置。若 <remember-me> 元素不设置任何属性，该功能会通过在 cookie 中存储一个有效期最长为两周的令牌来实现。而这里我们将令牌的有效期设置为四周（2419200 秒）。

cookie 中存储的令牌由用户名、密码、过期日期和私钥组成，这些信息在写入 cookie 之前会被编码为 MD5 哈希值。默认情