简单来说，每次自动登录都是一次“一换一”的更新操作：服务端更新数据库中的 token，同时通过 HTTP 响应让浏览器更新 cookie 中的 token，两者始终保持严格一致。这种机制极大地提升了安全性，即使旧的 token 被恶意窃取，在合法用户下一次自动登录时，该旧 token 也会因数据库中的值已变更而立即失效。

Cookie 名称的自定义配置

Q4：remember-me-cookie 必须这样命名吗？设置成其他的命名可以吗？

A：完全可以自定义。在 Spring Security 的配置文件中，.rememberMeCookieName("remember-me-cookie") 这一行代码就是用来指定 cookie 名称的关键配置。你可以将其修改为任意符合规范的 cookie 名称，例如：

.rememberMeCookieName("my-app-remember-token")   // 自定义 cookie 名称

需要注意的是，修改 cookie 名称后，退出登录时的清除逻辑也必须同步调整。具体而言，deleteCookies() 配置中的名称也要同步修改为新的名称，否则在用户执行退出操作时，系统将无法正确清除该 cookie，导致状态残留：

.logout(logout -> logout
    .logoutSuccessUrl("/loginlogout")
    .deleteCookies("my-app-remember-token")  // 与 rememberMeCookieName 保持一致
    .permitAll()
)

此外，如果前端 JavaScript 代码需要读取或操作这个 cookie，也必须使用自定义后的名称进行匹配。总之，remember-me-cookie 仅仅是 Spring Security 框架提供的默认名称，你可以根据项目的具体规范随意命名，只要保证在配置文件中所有引用该名称的地方保持一致即可。

Q5：series 字段存储在哪？浏览器是如何把它发送到服务端的？

A：series 字段存储在以下两个位置：

• 数据库：series 是 persistent_logins 表的主键，首次登录勾选"记住我"时由服务端生成并写入该表。
• 浏览器 cookie：series 与 token 拼接成 series:token 格式，存储在名为 remember-me-cookie 的 cookie 中（cookie 名称可自定义）。

浏览器发送 series 到服务端的过程完全自动：

1. 用户首次登录勾选"记住我"后，服务端通过响应头 Set-Cookie 将 series:token 写入浏览器 cookie。
2. 后续浏览器访问同一站点的任何请求，都会自动携带该 cookie（受同源策略保护）。
3. 服务端的 RememberMeAuthenticationFilter 拦截请求，从 cookie 中提取 series:token，解析出 series 后去数据库 persistent_logins 表查询对应记录，再比对 token 是否匹配。

整个过程对开发者完全透明，无需手动编写 cookie 读写代码。Spring Security 的 PersistentTokenBasedRememberMeServices 负责 cookie 的解析和 token 的比对工作。

A：cookie 中存储的格式为 series:token，中间用英文冒号（:）作为分隔符。例如一个实际的 cookie 值长这样：

Cookie 名称: remember-me

Cookie 值: series + ":" + token (Base64编码)

示例: MmFjM2Q0ZTU2Nzg5MGFiYw==:ZGVmNDU2Nzg5MGFiY2RlZg==

其中：

• series 部分（如 MmFjM2Q0ZTU2Nzg5MGFiYw==）是随机生成的唯一标识符，用于在数据库中定位用户会话。
• token 部分（如 ZGVmNDU2Nzg5MGFiY2RlZg==）是包含用户详细信息（如用户名、权限等）的加密字符串，用于验证用户身份。
• Base64 编码确保了数据在 HTTP 头中传输时的安全性和兼容性，避免了特殊字符导致的解析错误。

当浏览器再次访问服务器时，它会自动将包含 series 和 token 的 cookie 附加到请求头中。服务器端的 RememberMeAuthenticationFilter 组件会提取这些值，并根据 series 在 persistent_logins 表中查找对应的记录。如果找到记录且 token 匹配，则自动登录成功；否则，登录失效，需要用户重新登录。

这种机制不仅提高了用户体验，还增强了系统的安全性，因为即使 cookie 被截获，攻击者也需要同时拥有有效的 series 和 token 才能冒充用户。此外，Spring Security 提供的 PersistentTokenBasedRememberMeServices 组件简化了这一过程，使得开发者无需手动处理复杂的 cookie 逻辑。

Cookie 数据结构解析

在自动登录机制中，Cookie 的值并非单一字符串，而是采用了特定的分隔格式。这种设计旨在将身份标识与验证凭据紧密结合，确保服务端能够高效地处理请求。

核心组成部分

• 冒号前的部分是 series（唯一序列号），用于在 persistent_logins 表中定位记录。
• 冒号后的部分是 token（登录令牌），用于验证本次自动登录的合法性。

服务端解析时，PersistentTokenBasedRememberMeServices 会按第一个冒号将 cookie 值拆分为两部分：前半部分作为 series，后半部分作为 token。如果 cookie 值中没有冒号，或者拆分后任一部分为空，服务端会判定该 cookie 无效，拒绝自动登录。

设计优势分析

这种 series:token 的格式设计，使得服务端可以仅凭一个 cookie 值同时获取到定位记录的主键（series）和验证凭据（token），无需额外的请求参数或数据库全表扫描，既高效又安全。

以上就是基于Spring Security实现自动登录的示例代码的详细内容，更多关于Spring Security自动登录的资料请关注本站其它相关文章！

• Spring Security 单点登录与自动登录机制的实现原理
• SpringSecurity自动登录流程与实现详解
• Spring Security基于散列加密方案实现自动登录功能
• SpringBoot 配合 SpringSecurity 实现自动登录功能的代码
• Spring Security学习之rememberMe自动登录的实现
• Spring security实现记住我下次自动登录功能过程详解

CREATE TABLE persistent_logins (
    username VARCHAR(64) NOT NULL COMMENT '用户名',
    series VARCHAR(64) NOT NULL COMMENT '唯一序列号，用于标识一次登录会话',
    token  VARCHAR(64) NOT NULL COMMENT '登录令牌，每次自动登录后更新',
    last_used TIMESTAMP NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT '最后使用时间',
    PRIMARY KEY (series)
) ENGINE=INNODB DEFAULT CHARSET=utf8 COMMENT='记住我功能持久化登录信息表';

    org.springframework.boot
    spring-boot-starter-security


    org.springframework.boot
    spring-boot-starter-web


    org.springframework.boot
    spring-boot-starter-jdbc


    mysql
    mysql-connector-java
    runtime

spring:
  datasource:
    url: jdbc:mysql://localhost:3306/security_demouseSSL=false&serverTimezone=UTC
    username: root
    password: 123456
    driver-class-name: com.mysql.cj.jdbc.Driver

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.authentication.rememberme.JdbcTokenRepositoryImpl;
import org.springframework.security.web.authentication.rememberme.PersistentTokenRepository;
import javax.sql.DataSource;
@Configuration
@EnableWebSecurity
public class SecurityConfig {
private final DataSource dataSource;
private final UserDetailsService userDetailsService;
// 通过构造器注入 DataSource 和 UserDetailsService
public SecurityConfig(DataSource dataSource, UserDetailsService userDetailsService) {
this.dataSource = dataSource;
this.userDetailsService = userDetailsService;
}
@Bean
public PasswordEncoder passwordEncoder() {
// 使用 BCrypt 加密密码
return new BCryptPasswordEncoder();
}
@Bean
public PersistentTokenRepository persistentTokenRepository() {
// 创建 JdbcTokenRepositoryImpl 实例，用于将 token 持久化到数据库
JdbcTokenRepositoryImpl repo = new JdbcTokenRepositoryImpl();
repo.setDataSource(dataSource);
// 首次运行时设置为 true 可自动建表，生产环境建议手动建表后设为 false
// repo.setCreateTableOnStartup(true);
return repo;
}
@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
http
// 配置表单登录
.formLogin(form -> form
.loginPage("/login")          // 自定义登录页
.loginProcessingUrl("/doLogin") // 登录表单提交地址
.defaultSuccessUrl("/home")    // 登录成功跳转
.permitAll()
)
// 配置 remember-me 自动登录
.rememberMe(remember -> remember
.tokenRepository(persistentTokenRepository())  // 持久化 token 到数据库
.tokenValiditySeconds(7 * 24 * 60 * 60)       // token 有效期：7 天（单位秒）
.userDetailsService(userDetailsService)        // 用于根据用户名加载用户信息
.rememberMeParameter("remember-me")           // 登录表单中记住我复选框的 name 属性
.rememberMeCookieName("remember-me-cookie")   // 浏览器中存储的 cookie 名称
)
// 配置请求授权
.authorizeHttpRequests(auth -> auth
.requestMatchers("/login", "/css/", "/js/").permitAll()  // 公开资源
.anyRequest().authenticated()                                // 其他请求需认证
)
// 退出登录配置
.logout(logout -> logout
.logoutSuccessUrl("/loginlogout")
.deleteCookies("remember-me-cookie")  // 退出时清除 remember-me cookie
.permitAll()
);
return http.build();
}
}

import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;
import java.util.Collections;
@Service
public class CustomUserDetailsService implements UserDetailsService {
// 模拟从数据库查询用户，实际项目中请注入 UserMapper/UserRepository
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    // 这里模拟一个用户，实际应从数据库查询
    if (!"admin".equals(username)) {
        throw new UsernameNotFoundException("用户不存在: " + username);
    }
    // 密码必须是 BCrypt 加密后的密文，明文 "123456" 对应的 BCrypt 密文
    String encodedPassword = "$2a$10$N9qo8uLOickgx2ZMRZoMyeIjZAgcfl7p92ldGxad68LJZdL17lhWy";
    return new User(
        "admin",
        encodedPassword,
        true,                // 账号是否可用
        true,                // 账号未过期
        true,                // 凭证未过期
        true,                // 账号未锁定
        Collections.singletonList(new SimpleGrantedAuthority("ROLE_USER"))
    );
}
}

    
    


用户登录

    

        用户名：
        
    
    

        密码：
        
    
    

        
        
             记住我（自动登录）
        
    
    

        登录
    

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
@Controller
public class HomeController {
@GetMapping("/login")
public String loginPage() {
    // 返回登录页面
    return "login";
}
@GetMapping("/home")
public String homePage() {
// 返回首页，只有登录成功后才能访问
return "home";
}
}

    
    


欢迎登录！
你已经成功登录系统。
如果勾选了"记住我"，关闭浏览器后再次访问本页面将自动登录。
退出登录