做后台管理的同行们，是不是经常遇到客户吐槽：“为啥我每次登录都要输密码，太麻烦了！” 或者反过来，客户问：“我这网站能不能自动记住密码，下次直接进？” 这时候很多新手建站的朋友就懵了，觉得这就是加个复选框的事儿。嘿，要是真这么简单，这行早没人干了。今天咱就掰开揉碎了聊聊，网站的记住密码功能怎么做，才能既方便用户，又不让黑客笑掉大牙。
首先得明确一点，所谓的“记住密码”，本质上不是把密码存在浏览器里让你后台去读，而是浏览器在帮你存 Cookie 或者 LocalStorage。你作为开发者，要做的是生成一个长效的 Token 或者加密后的凭证，发给用户浏览器，下次用户访问时，浏览器带着这个凭证来，你验证凭证有效，就让他进去。千万别试图去读取用户输入的明文密码，那是找死，也是违法的。
我有个做企业官网的客户，之前为了省事，直接让前端把用户名密码存进 LocalStorage，结果没过两个月，数据泄露，客户差点被起诉。这就是典型的不懂行。正确的做法是，后端生成一个随机且复杂的 Token，设置较长的过期时间（比如30天），然后把这个 Token 返回给前端，前端存在 Cookie 里，并且一定要标记 HttpOnly 和 Secure 属性。这样即使有 XSS 攻击，脚本也读不到这个 Cookie。
说到这，很多人会问，网站的记住密码功能怎么做才安全？这里有个坑，就是“记住我”和“自动登录”的区别。记住我，通常是一次性的会话延长；自动登录，则是长期有效。对于大多数 B2B 网站，建议只做到“记住我”，有效期别超过两周。如果是 C 端高频应用，可以考虑更长的有效期，但必须配合设备指纹验证。
再说说前端实现。别用那种老旧的表单提交方式了。现在主流都是 AJAX 或 Fetch 请求。当用户勾选“记住我”时，前端在登录请求中加一个参数 remember_me: true。后端接收到这个参数，判断是否生成持久化 Token。如果生成，就写入数据库的 user_tokens 表，关联用户 ID。下次用户打开网站，前端检查是否有有效的 Token，如果有，直接请求后端验证接口，验证通过则静默登录，跳转首页。
这里有个细节，很多同行容易忽略，就是 Token 的刷新机制。如果 Token 一直有效，一旦泄露风险极大。所以建议采用双 Token 机制：Access Token 短期有效（比如1小时），Refresh Token 长期有效（比如30天）。Access Token 过期后，用 Refresh Token 去换新的 Access Token，而不是让用户重新输入密码。这样既体验好，又相对安全。
我还见过一种奇葩做法，把密码加密后存在前端，每次自动填充。这简直是裸奔。用户换台电脑或者清一下缓存，密码就没了，还得手动输，体验极差。而且一旦浏览器被植入恶意插件，密码直接泄露。所以，网站的记住密码功能怎么做，核心在于后端的安全策略，而不是前端的技巧。
另外，别忘了给用户选择权。在登录页明显位置放个“记住我”的复选框，默认不勾选。有些用户在意隐私，不想在公共电脑上留痕迹。你如果不给选项，直接强制记住，用户会反感，甚至觉得你的网站不专业。
最后，测试环节不能少。找几个不同浏览器、不同设备测试登录流程。特别是移动端，iOS 和 Android 的 Cookie 处理策略不一样，有时候会出现“记住我”失效的情况，这时候需要兼容处理，比如降级使用 LocalStorage 存储非敏感信息，或者引导用户开启浏览器自动填充功能。
总之，做网站记住密码功能，别想着走捷径。安全是底线，体验是上限。只有把这两者平衡好，你的网站才能让用户用得舒心，老板看得放心。别等出了事再后悔，那时候哭都来不及。希望这篇分享能帮大家在建站路上少踩坑，多赚钱。
