Spring Boot集成Discord OAuth2：免重复登录及CSRF配置咨询

1. 实现持久化授权（关闭浏览器无需重新登录） #

要实现关闭浏览器后保持登录状态，需启用remember-me功能，结合OAuth2登录场景，需配置以下内容：

• 开启rememberMe()配置，自定义token有效期（示例设为7天）
• 提供UserDetailsService实例，用于验证remember-me token时加载用户信息
• 生产环境建议将token存储到数据库（默认是内存存储，重启服务后token失效）

2. CSRF 启用建议 #

必须启用CSRF保护，尤其是你的应用包含POST/PUT/DELETE等状态修改请求时。Spring Security默认已启用CSRF，你当前注释了相关配置，建议恢复并使用CookieCsrfTokenRepository.withHttpOnlyFalse()，这样前端可通过Cookie获取CSRF token，在AJAX请求中携带X-XSRF-TOKEN头，避免跨站请求伪造攻击。

修改后的配置代码 #

@Configuration
public class SecurityConfiguration {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth
                        .antMatchers("/dashboard/**").authenticated()
                )
                .logout(logout -> logout // 不建议完全禁用退出功能，保留可主动清除登录状态
                        .logoutSuccessUrl("/login/oauth2")
                        .deleteCookies("JSESSIONID", "remember-me", "XSRF-TOKEN")
                )
                .csrf(csrf -> csrf
                        .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
                )
                .rememberMe(remember -> remember
                        .tokenValiditySeconds(60 * 60 * 24 * 7) // 7天有效期
                        .userDetailsService(userDetailsService())
                )
                .oauth2Login(oauth -> oauth
                        .defaultSuccessUrl("/dashboard")
                        .loginPage("/login/oauth2")
                        .failureUrl("/login/oauth2?failed=true")
                        .userInfoEndpoint().userService(this.userService())
                );

        return http.build();
    }

    @Bean
    public OAuth2UserService<OAuth2UserRequest, OAuth2User> userService() {
        return new CustomOAuth2UserService(this.restOperations());
    }

    @Bean
    public RestOperations restOperations() {
        return new RestTemplate();
    }

    // 实现UserDetailsService，需替换为你的实际用户查询逻辑
    @Bean
    public UserDetailsService userDetailsService() {
        return username -> {
            // 示例：从本地数据库查询Discord用户信息
            // UserEntity user = userRepository.findByDiscordId(username);
            // if (user == null) {
            //     throw new UsernameNotFoundException("用户不存在");
            // }
            // return User.withUsername(user.getDiscordId())
            //         .password("{noop}") // OAuth2用户无需密码，用noop前缀标记
            //         .roles("USER")
            //         .build();
            throw new UsernameNotFoundException("请替换为你的用户查询逻辑");
        };
    }
}

补充说明 #

• 若使用数据库存储remember-me token，需创建对应表（Spring Security提供标准建表语句），并配置JdbcTokenRepositoryImpl替换默认内存存储
• 建议将Discord OAuth2返回的用户信息持久化到本地数据库，避免每次验证都调用Discord API
• 保留logout功能可让用户主动清除登录状态，提升安全性

内容的提问来源于stack exchange，提问作者user22172623