Spring-Cookieを使用したRESTful認証

この記事に基づいて、Cookieを使用して（Androidクライアントアプリの）認証を実装しようとしています-http：//automateddeveloper.blogspot.co.uk/2014/03/securing-your-mobile-api-spring-security.html

SecurityConfig：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    private final static String TOKEN_STRING = "my_token";
    private final static String COOKIE_STRING = "my_cookie";

    @Autowired
    private UserDetailsService userSvc;
    @Autowired
    private MyTokenBasedRememberMeService tokenSvc;
    @Autowired
    private RememberMeAuthenticationProvider rememberMeProvider;
    @Autowired 
    private MyAuthSuccessHandler authSuccess;
    @Autowired
    private MyAuthFailureHandler authFailure;
    @Autowired
    private MyLogoutSuccessHandler logoutSuccess;


    @Autowired
    protected void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .userDetailsService(userSvc)
            .passwordEncoder(passwordEncoder());

        auth.authenticationProvider(rememberMeProvider);
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {

         http
            .authorizeRequests()
                .antMatchers("/register").permitAll()
                .anyRequest().authenticated().and()
            .formLogin()
               .loginPage("/")
               .loginProcessingUrl("/loginendpoint")
               .successHandler(authSuccess)
               .failureHandler(authFailure).and()
            .logout()                           
                .logoutUrl("/logout")
                .logoutSuccess(logoutSuccess)
                .deleteCookies(COOKIE_STRING).and()
            .rememberMe()
                .rememberMeServices(tokenSvc).and()
            .csrf()
                .disable()
            .addFilterBefore(rememberMeAuthenticationFilter(), BasicAuthenticationFilter.class)
            .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Bean
    public RememberMeAuthenticationFilter rememberMeAuthenticationFilter() throws Exception {
        return new RememberMeAuthenticationFilter(authenticationManager(), tokenBasedRememberMeService());
    }

    @Bean
    public RememberMeAuthenticationProvider rememberMeAuthenticationProvider() {
        return new RememberMeAuthenticationProvider(TOKEN_STRING);
    }

    @Bean
    public MyTokenBasedRememberMeService tokenBasedRememberMeService() {
        MyTokenBasedRememberMeService service = new MyTokenBasedRememberMeService(TOKEN_STRING,
                userSvc);
        service.setAlwaysRemember(true);
        service.setCookieName(COOKIE_STRING);
        return service;
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        PasswordEncoder encoder = new BCryptPasswordEncoder();
        return encoder;
    }

}

MyTokenBasedRememberMeService：

public class MyTokenBasedRememberMeService extends TokenBasedRememberMeServices {

    private final static String TOKEN_STRING = "my_token";

    public MyTokenBasedRememberMeService(String key, UserDetailsService userDetailsService) {
        super(key, userDetailsService);
    }

    @Override
    protected String extractRememberMeCookie(HttpServletRequest request) {
        String token = request.getHeader(TOKEN_STRING);
        if ((token == null) || (token.length() == 0)) {
            return "";
        }
        return token;
    }
}

残念ながら、ログインに成功した後、クライアント側のCookieは空になります。

Set-Cookie: my_cookie=""; Expires=Thu, 01-Jan-1970 00:00:10 GMT; Path=/

どうしましたか？

-------編集1 -------

ブラウザに直接ログインした場合、Cookieは取得されません（たとえば、開発ツールで）？

postmanを使用してテストしたところ、JSESSIONID cookieのみを受け取りました（my_cookieは受け取りませんでした）。

また、カスタムログインコントローラーメソッドを使用していますか？（たとえば、ユーザーコントローラーはユーザーを明示的に認証していますか？）

はい、私はカスタムログインコントローラーメソッドを使用していますが、Spring Securityは初めてです。カスタムコントローラーなしで実行できる場合は、説明をいただければ幸いです。私のコントローラーはユーザーの認証を担当します。

認証を処理するためにスプリングセキュリティを使用していない場合は、Cookieなどを自分で明示的に設定する必要があると思われます

いいえ、スプリングセキュリティのみを使用しています。少なくとも私はそう思う ... ：）

UserControllerログインメソッドは何をしていますか？

コードを更新しました。

-------編集2 -------

@rhindsのアドバイスと春のドキュメントによると、私はいくつかのことを修正しました（上記のコードが更新されています）。これでログインでき、ログインloginendpoint後に取得できmy_cookieます。しかし、私は関連する質問があります：

1. ログインに成功すると、それに応じてCookieを受け取ります。さらにリクエストするには、トークンがサーバー側で自動的に追加される場合、手動でトークン（クライアント側）を追加する必要がありますか？
2. ログアウトはどうですか？「Spring」はどのユーザーがログアウトする必要があるかをどのように知るのでしょうか？
3. トークンの有効期限はどうですか？デフォルトは2週間ですが、それではどうしますか？トークンが期限切れにならないように設定できますか？

同様のことをする人のために、私はこの素晴らしい記事も見ることをお勧めします-https：//dzone.com/articles/secure-rest-services-using :)