Google OAuth2集成后如何实现记住我功能，避免用户重复登录？

根因说明 #

Spring Security 默认的 RememberMe 功能仅适配表单用户名密码认证流程，OAuth2 登录走独立的 OAuth2LoginAuthenticationFilter 过滤器，默认不会触发 RememberMe 相关逻辑，所以就算你开启了基础配置也不会生成对应的 RememberMe 令牌，仅靠默认有效期5分钟的会话维持登录状态，会话过期自然需要重新登录。

可行配置方案 #

方案1：延长会话有效期（适配你当前Tomcat托管会话的架构，改造成本最低） #

你当前的会话由Tomcat统一管理，JSESSIONID 是会话的唯一标识，直接延长会话和对应Cookie的有效期即可降低登录频率：

1. 如果是用内嵌Tomcat，直接在Spring Boot配置文件中添加配置：
   application.yml 配置示例：

   server:
     servlet:
       session:
         timeout: 7d # 会话有效期，按需调整，支持单位h(小时)/d(天)/m(分钟)
         cookie:
           max-age: 7d # 客户端JSESSIONID Cookie有效期，与会话有效期保持一致
           http-only: true
           secure: true # 启用HTTPS后建议开启，避免Cookie被劫持
           same-site: lax
   

   application.properties 配置示例：

   server.servlet.session.timeout=7d
   server.servlet.session.cookie.max-age=7d
   server.servlet.session.cookie.http-only=true
   server.servlet.session.cookie.secure=true
   server.servlet.session.cookie.same-site=lax
   

2. 如果是外置独立部署的Tomcat，还需要修改 TOMCAT_HOME/conf/web.xml 中的会话配置：

   <session-config>
       <!-- 单位为分钟，7天对应为7*24*60=10080 -->
       <session-timeout>10080</session-timeout>
   </session-config>
   

注意：默认Tomcat的会话存储在内存中，服务重启后所有会话会失效，如果要避免这个问题，建议搭配Spring Session+Redis将会话持久化存储在Redis中，服务重启、扩容都不会影响用户登录状态。

方案2：自定义OAuth2登录逻辑，手动触发RememberMe令牌生成 #

如果要保留原有的RememberMe令牌机制，需要在OAuth2登录成功的回调中手动触发RememberMe的令牌生成逻辑：

1. 基础配置参考如下：

   @Configuration
   @EnableWebSecurity
   public class SecurityConfig {
       @Autowired
       private DataSource dataSource;
       @Autowired
       private UserDetailsService oauth2UserDetailsService;
   
       @Bean
       public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
           http
               .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
               .oauth2Login(oauth2 -> oauth2
                   .successHandler(oauth2LoginSuccessHandler()) // 绑定自定义登录成功处理器
               )
               .rememberMe(remember -> remember
                   .tokenRepository(persistentTokenRepository())
                   .tokenValiditySeconds(604800) // RememberMe令牌有效期7天
                   .key("your-custom-remember-secret-key") // 自定义密钥，不要泄露
               );
           return http.build();
       }
   
       // 持久化存储RememberMe令牌，避免服务重启失效
       @Bean
       public PersistentTokenRepository persistentTokenRepository() {
           JdbcTokenRepositoryImpl repo = new JdbcTokenRepositoryImpl();
           repo.setDataSource(dataSource);
           // 首次启动可以打开下面的配置自动生成表，生成后关闭
           // repo.setCreateTableOnStartup(true);
           return repo;
       }
   
       // 自定义登录成功处理器，手动触发RememberMe逻辑
       @Bean
       public AuthenticationSuccessHandler oauth2LoginSuccessHandler() {
           return (request, response, authentication) -> {
               rememberMeServices().loginSuccess(request, response, authentication);
               // 重定向到登录后的首页，按需修改路径
               response.sendRedirect("/home");
           };
       }
   
       @Bean
       public RememberMeServices rememberMeServices() {
           PersistentTokenBasedRememberMeServices services =
               new PersistentTokenBasedRememberMeServices(
                   "your-custom-remember-secret-key",
                   oauth2UserDetailsService,
                   persistentTokenRepository()
               );
           services.setTokenValiditySeconds(604800);
           return services;
       }
   }
   

2. 你需要自行实现 oauth2UserDetailsService 逻辑，支持根据Google OAuth2返回的用户信息查询到对应的系统用户信息。

方案3：基于OAuth2 Refresh Token自动续期（无会话场景更推荐） #

如果后续要适配前后端分离、无服务端会话的场景，可以通过Google的Refresh Token自动续期Access Token，完全不需要用户手动重新登录：

• 首先在Google OAuth2的授权请求参数中添加 access_type=offline，才能拿到Refresh Token
• 自定义 OAuth2AuthorizedClientRepository 将Refresh Token持久化存储在Cookie或者分布式存储中，Access Token过期后自动用Refresh Token换取最新的有效Access Token即可。

安全提示 #

• 所有会话、令牌的有效期不要设置过长，建议最长不超过30天，降低身份被冒用的风险
• 所有涉及身份的Cookie必须开启 HttpOnly 属性，生产环境启用HTTPS后必须开启 Secure 属性，避免Cookie被窃取

内容的提问来源于stack exchange，提问作者asdlll