深入剖析RememberMeAuthenticationFilter：Spring Security 5.6.2源码分析

2023-10-01 18:17:57

前言

Spring Security支持记住我登录，只需点击"记住我"复选框即可完成记住我认证。Spring Security提供了多种方式来实现记住我功能，其中最常用的方法是使用RememberMeAuthenticationFilter。在这个系列的第22部分中，我们将详细分析RememberMeAuthenticationFilter的实现，帮助您深入了解Spring Security的记住我机制。

RememberMeConfigurer

RememberMeConfigurer是用于配置记住我功能的配置类。它提供了几个方法来配置记住我功能，包括：

tokenValiditySeconds：设置记住我令牌的有效期，单位为秒。
tokenRepository：设置用于存储记住我令牌的持久化存储。
key：设置用于加密记住我令牌的密钥。

RememberMeTokenRepository

RememberMeTokenRepository是一个接口，用于存储和检索记住我令牌。Spring Security提供了几个开箱即用的RememberMeTokenRepository实现，包括：

JdbcTokenRepository：使用JDBC来存储和检索记住我令牌。
InMemoryTokenRepository：将记住我令牌存储在内存中。
PersistentTokenRepository：使用Hibernate来存储和检索记住我令牌。

RememberMeAuthenticationFilter

RememberMeAuthenticationFilter是Spring Security中用于记住我认证的过滤器。它负责检查请求中是否有记住我令牌，如果有，则使用该令牌来验证用户身份。RememberMeAuthenticationFilter的工作流程如下：

当收到一个请求时，RememberMeAuthenticationFilter会检查请求中是否有记住我令牌。
如果有记住我令牌，则RememberMeAuthenticationFilter会使用该令牌来查找对应的RememberMeUserDetails。
如果找到了对应的RememberMeUserDetails，则RememberMeAuthenticationFilter会创建一个Authentication对象，并将其添加到SecurityContext中。
如果没有找到对应的RememberMeUserDetails，或者记住我令牌已经过期，则RememberMeAuthenticationFilter会创建一个AuthenticationException，并将其抛出。