实现无需密钥即可记住我

Question

我发现一些示例仅通过以下方式实现“记住我”功能

<remember-me/>

，其他示例将其实现为：

<remember-me key="_spring_security_remember_me"/>

我想知道这两个声明之间有什么区别，以及 _spring_security_remember_me 是预定义的键吗？ 谢谢。

Answer 1

默认密钥可以在 AuthenticationConfigBuilder.createRememberMeFilter() 中找到，

    final String DEF_KEY = "SpringSecured";

如果您未在 中指定，则使用该值。

Answer 2

从文档中， key 属性用于对 cookie 中存储的值进行哈希处理。它可以防止恶意用户尝试解码 cookie，因为如果没有密钥，他们就无法做到这一点（嗯，这要困难得多）。

Answer 3

对于将来寻找 Rememberme().key() 功能的人来说，似乎从 Spring Boot 2.2.6 开始，如果未提供密钥，就有 SecureRandom 生成器来生成密钥。这是在 org.springframework.security.config.http.AuthenticationConfigBuilder.createRememberMeFilter 中找到的实现

private String createKey() {
    SecureRandom random = new SecureRandom();
    return Long.toString(random.nextLong());
}