登录后自动重新登录到JSF应用程序

Question

对于典型的最典型的面向Internet的网站，当您通过关闭选项卡（ 无需注销 ）登录并离开该网站（然后 注销
），然后再次访问时，可能不需要您重新指定凭据或登录，您可以直接登录。

这一切在后端如何发生？如何在我的JSF 2.1应用程序中启用这种机制？

在Tomcat7服务器上使用JSF 2.1

Answer 1

这基本上是通过一个长寿的cookie完成的。JSF API不提供此功能，因为它只是一个基于组件的简单MVC框架。标准Java EE
API也未提供此功能。诸如Spring Security和Apache Shiro之类的某些身份验证框架提供了此功能。

如果您需要使用“普通” Java EE / JSF来实现此目的，那么您需要在通过登录时自己创建一个长期存在的cookie
ExternalContext#addResponseCookie()。Cookie值必须是一个长的，唯一的，自动生成的且难以猜测的值（例如java.util.UUID），您还必须将其存储在与用户ID关联的DB中。然后，可以使用简单的servlet筛选器来检查HttpServletRequest#getCookies()已确认登录的用户不存在时的cookie
。如果找到该cookie并有效，则自动登录用户。

为了提高安全性，如有必要，请最终用户提供选项以“锁定”此cookie在用户IP上，该用户IP还将与cookie ID和用户ID一起存储在DB中。