在 Web 应用中，用户关闭浏览器再次打开网站时仍希望保持登录状态，这种需求通常被称为“记住我”或自动登录。Spring Security 提供了专门的 EnableRememberMe 机制来处理这一场景，它并不是把 HttpSession 的过期时间拉长，而是利用浏览器 Cookie 中保存的令牌来完成身份识别。理解这套机制的工作原理，是我们在 Spring Boot 项目中稳妥整合它的前提。
RememberMe 令牌的底层工作原理
Spring Security 的 RememberMe 功能核心在于服务端生成一段可以被校验的令牌，并将该令牌写入客户端的 Cookie 中。默认情况下，这段令牌的内容包含用户名、过期时间以及一段使用 MD5 或类似算法生成的签名。签名所使用的密钥由开发者在配置中指定，服务端后续接收到请求时会重新计算签名并与 Cookie 中的值比对，从而判断令牌是否被篡改以及是否过期。
这种机制与单纯依赖 Session 的最大区别在于：Session 状态保存在服务端内存或外部存储中，浏览器只持有一个无意义的 ID；而 RememberMe 令牌本身携带了可还原用户身份的信息，服务端无需依赖会话即可完成认证。但这也带来一个安全隐患，一旦密钥泄露，攻击者就可以伪造任意用户的令牌，因此密钥管理必须严格。
Spring Security 提供了两种主要的 RememberMe 实现：一种是简单的基于散列令牌的方案，令牌直接包含在 Cookie 里；另一种是持久化令牌方案，服务端数据库保存令牌系列与版本号，每次登录都会更新令牌，能有效防止令牌被固定重放。我们在 Spring Boot 中通过 rememberMe() 方法开启功能时，实际上是在安全过滤器链中插入了 RememberMeAuthenticationFilter。
在 Spring Boot 中配置 EnableRememberMe
要在 Spring Boot 项目里启用 RememberMe，最常见的方式是编写一个继承 WebSecurityConfigurerAdapter 的配置类，并在 configure(HttpSecurity http) 方法中调用 http.rememberMe()。该方法返回的 RememberMeConfigurer 允许我们设置关键信息，例如使用的 UserDetailsService 实例以及签名密钥。如果遗漏了 UserDetailsService，框架在启动时会提示找不到对应的用户检索服务。
下面是一段典型的配置代码，展示了如何开启 RememberMe 并设置令牌有效期与密钥。注意 rememberMeParameter 对应前端表单字段名，默认就是 remember-me，我们可以按需修改。
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
private UserDetailsService userDetailsService;
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/public/**").permitAll()
.anyRequest().authenticated()
.and()
.formLogin()
.loginPage("/login")
.permitAll()
.and()
.rememberMe()
.userDetailsService(userDetailsService)
.key("mySecretKey_2024")
.rememberMeParameter("remember")
.tokenValiditySeconds(7 * 24 * 3600);
}
}
上述配置中，tokenValiditySeconds 设置了令牌有效期为七天，key 方法传入的字符串就是签名密钥。在真实项目中，密钥应当放在配置文件或环境变量中，而不是硬编码在代码里。另外，rememberMeParameter 改成了 remember，这意味着前端登录表单里复选框的 name 属性也必须叫 remember，否则 Spring Security 不会处理该字段。
如果我们采用持久化令牌方案，还需要额外配置 tokenRepository，例如使用 JdbcTokenRepositoryImpl 将令牌存入数据库。此时框架会自建一张 persistent_logins 表，记录 username、series、token 和 last_used 字段，每次自动登录都会生成新的 token 值，旧令牌立即失效，安全性比纯散列方案更高。
前端表单与控制器层面的接入要点
在 Thymeleaf 或普通 HTML 表单中，只需增加一个 checkbox 即可让用户选择是否开启记住我。这个 checkbox 的 name 必须和配置中的 rememberMeParameter 保持一致。当用户勾选并提交表单时，Spring Security 的 UsernamePasswordAuthenticationFilter 会在认证成功后委托 RememberMeServices 写入 Cookie。
下面是一个简单的登录页片段，展示了如何放置记住我复选框。注意这里没有使用任何外部链接，仅依赖表单原生提交到 Spring Security 默认的登录处理地址。
<form method="post" action="/login">
<input type="text" name="username" placeholder="用户名"/>
<input type="password" name="password" placeholder="密码"/>
<input type="checkbox" name="remember" value="true"/> 记住我
<button type="submit">登录</button>
</form>
在控制器层面，我们通常不需要为 RememberMe 编写额外逻辑，因为过滤器链已经接管了相关流程。但如果你使用了自定义登录接口而非默认表单登录，就需要手动调用 RememberMeServices 的 loginSuccess 方法，在认证通过后写入令牌。否则即便配置了 rememberMe()，自动登录也不会生效。
另一个容易被忽略的点是 Cookie 的安全属性。在生产环境中，应当通过 server.servlet.session.cookie.secure 等配置让 RememberMe Cookie 仅在 HTTPS 下传输，并结合 HttpOnly 降低脚本窃取风险。Spring Boot 默认已经为会话 Cookie 设置了 HttpOnly，但 RememberMe Cookie 的 secure 标志需要依赖整个应用的 secure 配置，这一点在部署到公网时必须确认。
两种令牌方案的对比与选型建议
简单散列方案实现轻量，不需要数据库表，适合内部系统或对安全性要求不极端的场景。它的缺点是用户一旦登出再登录，旧令牌依然可能在有效期内被重用，且无法主动废止某一设备的记住我状态。持久化令牌方案通过 series 和 token 的双字段设计，让每次自动登录都变更 token，并在检测到异常系列匹配但 token 不符时判定为盗用，可触发全场登出。
从运维角度看，持久化方案需要建表和写库，增加了少许复杂度，但换来了可审计的登录设备列表和更强的抗攻击能力。对于面向公众的 Spring Boot 应用，建议优先选用 JdbcTokenRepositoryImpl。如果应用本身已有 Redis 等缓存，也可以自己实现 TokenRepository 接口将令牌存入 Redis，兼顾性能与安全。
在整合 EnableRememberMe 时，还应避免把有效期设置得过长。即便使用持久化令牌，过长的有效期也会扩大丢失 Cookie 后的风险窗口。一般七天到三十天是比较合理的区间，配合前端明确的“下次自动登录”勾选提示，能够在体验与安全之间取得平衡。
Spring_BootSpring_SecurityEnableRememberMe修改时间：2026-08-19 05:12:34