java中实现“记住密码”需设sethttponly(false)、setmaxage(604800)、setpath("/")，存服务端签发的绑定设备/ip的token而非密码明文，并同步清理数据库与前端cookie。
Java中设置Cookie实现“记住密码”时，setHttpOnly(false) 是必须的
浏览器只有在允许 JavaScript 读写的情况下，前端才能拿到 Cookie 里的加密凭证去自动填充密码。如果设成 true，JS 就完全访问不到，后续自动登录逻辑直接失效。
常见错误现象：document.cookie 里看不到你设的 remember_token，或者取出来是空字符串。
-
setMaxAge(60 * 60 * 24 * 7)设为正数（单位秒），才能持久化；设为-1是会话级，关浏览器就丢 - 必须配合
setPath("/")，否则默认路径是当前请求路径（比如/login），之后访问/user/profile就带不上这个 Cookie - 如果后端用 Spring Boot，别忘了在响应里手动 add：
response.addCookie(cookie)，光 new 出来不加进去等于没设
加密存储密码本身是危险操作，应只存服务端签发的 token
“记住密码”不是把 password 明文或简单 Base64 存 Cookie，而是由服务端生成一个短期有效的、绑定设备/IP 的令牌（如 JWT 或随机 UUID），存在 remember_token 里。
使用场景：用户勾选“记住我”后，登录成功返回一个 remember_token，下次访问首页时前端读它、发给后端校验，后端查库确认是否有效且未被注销。
立即学习“Java免费学习笔记（深入）”；
- token 必须存服务端数据库，字段含：
token_hash（bcrypt 加密）、user_id、expires_at、last_used_at - 每次成功用 token 登录后，要更新
last_used_at并滚动签发新 token（旧 token 失效），防被盗用 - 千万别用
username+password拼接后加密——一旦 Cookie 被窃，密码就等于裸奔
Domain 和 Secure 配置不当会导致 Cookie 在生产环境不生效
本地开发用 localhost 时，setDomain("localhost") 可能反而让 Cookie 被拒绝；而上线后若没设 setSecure(true)，HTTPS 站点根本不会发送该 Cookie。
错误现象：开发时好好的，部署到 Nginx + HTTPS 后，“记住我”功能突然失效，Network 面板里看不到 Cookie 出现在请求头。
- 对
localhost，不要调用setDomain()；对真实域名（如example.com），设为.example.com（开头带点）才能匹配子域 -
setSecure(true)表示只在 HTTPS 下传输，HTTP 请求里自动忽略；Spring Boot 中可通过server.servlet.session.cookie.secure=true全局控制 - Chrome 98+ 对
SameSite默认更严格，建议显式设cookie.setSameSite("Lax")（注意：这是字符串，不是枚举）
前端读取和清理 remember_token 的边界情况容易遗漏
不是写了 document.cookie 就万事大吉。用户换设备、清缓存、登出时忘记删 Cookie，都会导致 token 泄露或状态不一致。
可给出简短示例：
function getRememberToken() {
return document.cookie.split('; ').find(row => row.startsWith('remember_token='))?.split('=')[1];
}
<p>function clearRememberToken() {
document.cookie = 'remember_token=; expires=Thu, 01 Jan 1970 00:00:00 GMT; path=/;';
}- 登出接口必须同时作两件事：服务端删掉数据库里的 token 记录 + 前端调
clearRememberToken() - 如果用户在多个标签页登录，一个标签页登出后，其他页再发请求可能仍带着旧 token——需后端返回
401时前端主动清理并跳登录页 - 移动端 WebView 或某些浏览器禁用第三方 Cookie，
remember_token可能无法写入，得有降级方案（比如回退到 localStorage + 手动触发登录）
真正麻烦的从来不是怎么设 Cookie，而是 token 生命周期管理、多端同步、异常清理这些细节。漏掉任意一环，安全性和体验都会打折扣。
