自動登錄實現：Cookie + Session 機制與安全增強

基礎流程

1. 用戶勾選「記住我」登錄成功。
2. 服務端生成隨機 Token（UUID/JWT），關聯用戶 ID 存入 Redis/DB，設置過期時間（如 30 天）。
3. 將 Token 寫入 HttpOnly Secure Cookie（Set-Cookie: remember_me=token; HttpOnly; Secure; Max-Age=2592000）。
4. 瀏覽器關閉後再訪問，自動攜帶 Cookie，服務端驗證 Token 有效性，自動建立 Session 登錄態。

你的方案分析

• 保存 JSESSIONID 到 Cookie：JSESSIONID 默認就是 Session Cookie（瀏覽器關閉即失效）。強制持久化它違反 Servlet 規範，且 Session 服務端重啟後失效，導致自動登錄失效。
• 雙重驗證 Cookie+JSESSIONID：純屬多此一舉，未增加安全性，反而引入同步複雜度。

安全增強方案

最佳實踐代碼片段

// 登錄成功後
String token = UUID.randomUUID().toString().replace("-", "");
redisTemplate.opsForValue().set("auto_login:" + token, userId, 30, TimeUnit.DAYS);
Cookie cookie = new Cookie("remember_me", token);
cookie.setHttpOnly(true);
cookie.setSecure(true); // 僅 HTTPS
cookie.setPath("/");
cookie.setMaxAge(30 * 24 * 3600);
response.addCookie(cookie);

// 攔截器/過濾器中
String token = WebUtils.getCookie(request, "remember_me");
if (token != null) {
    String userId = redisTemplate.opsForValue().get("auto_login:" + token);
    if (userId != null) {
        // 自動登錄
        SecurityContextHolder.getContext().setAuthentication(new UsernamePasswordAuthenticationToken(userId, null, authorities));
    }
}

結論

採用獨立長效 Token + HttpOnly Cookie + 服務端存儲架構，而非依賴 JSESSIONID。簡單、安全、符合標準。

1. 上一篇文章： CPU 地址寬度與內存容量：32位/64位架構下的尋址邊界
2. 下一篇文章： TreeView 采購單展示第三季：空產品號處理方案

程式設計綜合問答

SQL 累計在線時間聚合查詢：SUM(DATEDIFF) 替代逐條更新

同 30567，直接聚合： SELECT SUM(DATED

Gson 解析 JSON 字符串為對象列表：TypeToken 正確姿勢

常見錯誤 List list = gson.fromJso

SVN 提交報錯「工作副本已崩潰」：原因分析與三步修復指南

錯誤現象 SVN 提交時提示錯誤，錯誤截圖顯示工作副本元數據

Navicat for Oracle 工具欄「報表」與「計劃」按鈕功能詳解

功能對照表 按鈕功能描述典型應用場景 報表數據統計報表設計