JSF中“记住我”的Cookies

Question

我有一个登录页面，我想添加“记住我”功能；因此，如果用户注销并再次打开页面，则会加载其用户名和密码。为此，当用户登录（并选中“记住我”）时，我保存了以下cookie：

FacesContext facesContext = FacesContext.getCurrentInstance();
Cookie userCookie = new Cookie("vtusername", username);
userCookie.setMaxAge(3600);
((HttpServletResponse) facesContext.getExternalContext()
       .getResponse()).addCookie(userCookie);
Cookie passCokie = new Cookie("vtpassword", password);
passCokie.setMaxAge(3600);
 ((HttpServletResponse) facesContext.getExternalContext()
       .getResponse()).addCookie(passCokie);

问题是稍后（在同一会话中）我阅读了cookie，然后看到maxAge = -1; 即使我将其设置为3600
…为什么呢？另一个问题：如果我使用userCookie.setSecure（true）将cookie设置为安全，那么我将无法读取它（它消失了）。

另一个问题：由于密码存储在cookie中，我应该如何对其进行加密？最佳做法是什么？

提前致谢

Answer 1

问题是稍后（在同一会话中）我阅读了cookie，然后看到maxAge = -1; 即使我将其设置为3600 …为什么呢？

因为浏览器不会发送回最大值。它仅将cookie名称=值发送回。最大值仅存储在浏览器中。您可以在Web浏览器本身的cookie查看器/编辑器中进行检查。例如，在Firefox中，您可以通过
工具 >选项>隐私>删除单个cookie_来检查所有 _cookie 。输入域（例如localhost）以查看cookie。

另一个问题：如果我使用userCookie.setSecure（true）将cookie设置为安全，那么我将无法读取它（它消失了）。

仅当请求/响应是通过HTTPS而不是HTTP服务时，它才起作用。同样，当请求已经通过HTTPS进行服务时，它将默认为secure = true。

另一个问题：由于密码存储在cookie中，我应该如何对其进行加密？ 最佳做法是什么？

不要将原始名称/密码存储在两个cookie中。除此之外，这可以轻松地放入一个cookie中，这是一个非常糟糕的主意，并且很容易被黑客入侵。使用具有自动生成的长，唯一且无法猜测的值的单个cookie。将此值与用户ID一起存储在服务器端的数据库中。当有人使用此cookie访问您的网站，但用户尚未登录（即User会话中没有对象）时，您可以执行自动登录。