通过Cookie以及Token实现十天内免登录

在现代Web应用中,为了提升用户体验,经常需要实现免登录功能,即用户在一定时间内访问网站时无需重复登录。这通常可以通过结合使用Cookie和Token来实现。本文将详细介绍如何利用这两种技术实现十天内免登录的功能。

一、理解Cookie与Token

  1. Cookie
    Cookie是服务器发送到用户浏览器并保存在本地的小块数据。它用于告知服务器两个请求是否来自同一浏览器,使得服务器能够识别用户的身份或会话状态。

  2. Token
    Token通常指的是身份令牌,它是一种用于身份验证和授权的字符串。在用户登录后,服务器会生成一个Token并将其发送给用户。用户随后的每次请求都会携带这个Token,以证明其身份。

二、实现十天内免登录的步骤

  1. 用户登录
    当用户输入用户名和密码进行登录时,服务器会验证这些凭据。如果凭据有效,服务器会生成一个Token,并将其与用户信息关联起来存储在服务器上。

  2. 发送Token和设置Cookie
    服务器将生成的Token发送给用户的浏览器,并同时设置一个Cookie,其中包含Token的标识符(而不是Token本身)。这个Cookie的过期时间设置为十天。

  3. 存储Token在客户端
    用户的浏览器接收到Token后,可以选择将其存储在localStorage或sessionStorage中,以便在后续的请求中使用。

  4. 自动登录
    当用户再次访问网站时,浏览器会自动发送之前设置的Cookie给服务器。服务器根据Cookie中的Token标识符查找对应的Token,并验证其有效性。如果Token有效,服务器将认为用户已登录,并允许其访问受保护的资源。

  5. 更新Token和Cookie
    为了安全起见,服务器可以定期更新Token,并更新Cookie中的Token标识符。这有助于防止Token被长时间滥用。

  6. 注销和清除Token
    当用户注销时,服务器应使当前的Token失效,并清除浏览器中的Cookie和存储的Token。

三、安全性考虑

  1. 使用HTTPS
    始终通过HTTPS传输Cookie和Token,以防止中间人攻击。

  2. 设置Cookie的属性
    将Cookie的Secure属性设置为true,以确保它只能通过HTTPS传输。将HttpOnly属性设置为true,以防止跨站脚本攻击(XSS)。

  3. Token的过期和刷新
    为Token设置合理的过期时间,并定期刷新Token,以减少Token被滥用的风险。

  4. 存储Token的安全性
    在客户端存储Token时,应确保使用安全的方式,如localStorage,并避免将Token暴露在URL或日志中。

部分代码:

关于Token的工具类,包括生成、解析

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

import java.util.Date;

public class JwtUtil {

    //生成token
    public static String generateToken(String loginAct, String secretKey) {
        long tenDays = 10 * 24 * 60 * 60 * 1000; // 十天的时间,单位毫秒
        Date now = new Date();
        // 添加JWT的过期时间
        Date expiryDate = new Date(now.getTime() + tenDays);

        return Jwts.builder()
                .setSubject(loginAct) // 设置JWT的主题,通常是用户ID或用户名
                .setIssuedAt(now) // 设置签发时间
                .setExpiration(expiryDate) // 设置过期时间
                .signWith(SignatureAlgorithm.HS256, secretKey) // 使用HS256算法和密钥进行签名
                .compact(); // 生成并返回JWT
    }

    //验证token
    public static Claims validateToken(String token, String secretKey) {
        try {
            Claims claims = Jwts.parser()
                    .setSigningKey(secretKey)
                    .parseClaimsJws(token)
                    .getBody();

            // 检查Token是否过期
            Date now = new Date();
            Date expiryDate = claims.getExpiration();
            if (now.after(expiryDate)) {
                throw new SecurityException("Token has expired");
            }

            // 返回Claims对象,其中包含用户信息等
            return claims;
        } catch (Exception e) {
            // 处理Token验证失败的情况
            throw new RuntimeException("Token validation failed", e);
        }
    }
}

身份验证以及存储Token和Cookie

//保存身份信息
String str = user.getLoginAct() + "," + user.getLoginPwd();

//token生成
String secretKey = String.valueOf(HS256Util.generateHS256Key());
Cookie sk = new Cookie("secretKey",secretKey);
sk.setMaxAge(10*24*60*60);
response.addCookie(sk);
String token = JwtUtil.generateToken(str, secretKey);

//存储token
Cookie c2=new Cookie("AuthToken",token);
response.addCookie(c2);

生成HS256密钥工具类

import java.security.SecureRandom;

public class HS256Util {

    /**
     * 生成一个256位的密钥(即32字节)。
     *
     * @return 密钥的字节表示。
     */
    public static byte[] generateHS256Key() {
        byte[] key = new byte[32]; // 256位 = 32字节
        new SecureRandom().nextBytes(key); // 使用SecureRandom填充密钥
        return key;
    }
}

通过结合使用Cookie和Token,我们可以实现一个既安全又方便的十天内免登录功能。这不仅可以提升用户体验,还可以减少服务器的验证负担。

  • 7
    点赞
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值