这篇文章就手把手教你，不用复杂框架，只用基础的Cookie操作就能搞定：从登录时设置有效期7天的Cookie（存用户凭证），到每次访问页面时验证Cookie的有效性，再到处理Cookie失效后的重新登录逻辑，每一步都讲得明明白白。就算你刚接触JSP没几天，跟着步骤复制代码、调整参数，10分钟就能给项目加上这个实用功能。
不用再让用户反复输账号，也不用怕自己搞不定技术细节——这篇“新手友好版”教程，帮你轻松解决JSP免登录的痛点，赶紧往下看，把这个提升用户体验的“小技巧”收了吧！
你有没有做JSP项目时遇到过这种糟心事儿？用户每次访问都得重新输账号密码，明明刚登过没两天，转头又得重来——别说用户烦，连你自己都觉得体验差吧？我去年帮朋友改他的小型电商JSP网站时，就碰到这问题，当时他愁得不行，说“能不能让用户点一下就直接进？”后来我用了个超简单的办法，没用到复杂框架，就靠Cookie搞定了7天免登录，他试了之后用户反馈直接变好了，还说“早知道这么简单我自己就试了”。今天我把这套亲测有效的步骤分享给你，就算你刚学JSP没几天，跟着做也能搞定。
第一步：搞懂“7天免登录”的核心逻辑——其实就是用Cookie存用户信息
先跟你说个大白话：“7天免登录”的本质，就是给用户电脑发一张“有效期7天的身份小纸条”。你可以把Cookie想成这张“小纸条”——用户第一次登录时，网站把“你是谁”写在纸条上，塞到用户电脑里；等用户下次来，网站先翻用户的“小纸条盒”，如果找到没过期的“身份纸条”，直接认人放行，不用再输账号密码。
具体怎么发这张“小纸条”呢？其实就3步：
当用户输对账号密码（比如从login.jsp页面提交表单），你得先确认“这个人是合法用户”——比如查数据库里有没有这个账号，密码对不对。确认没问题后，就可以生成Cookie了：
// 假设你从数据库拿到了用户ID：userId（比如1001），和用户名username（比如“张三”）
// 注意！别存明文密码！别存明文密码！别存明文密码！重要的事说三遍
// 可以存“用户ID+加密串”，比如用MD5简单加密（这里用用户ID+固定盐值举例）
String userInfo = userId + "_" + MD5Util.encode(username + "my_salt"); // 自己写个MD5工具类，或者用commons-codec包
// 生成Cookie对象，名字叫“userLoginToken”（随便起，只要统一就行）
Cookie cookie = new Cookie("userLoginToken", userInfo);
// 设置有效期：7天（换算成秒是7246060）
cookie.setMaxAge(7 24 60 60);
// 关键！设置Cookie的有效路径为“/”——让整个网站都能拿到这张“小纸条”
// 我去年犯过一个错：没设Path，结果只有login.jsp能拿到Cookie，首页index.jsp拿不到，白折腾了半小时
cookie.setPath("/");
// 把Cookie发给用户浏览器
response.addCookie(cookie);
我朋友当时问过我：“直接存用户ID不行吗？”我跟他说：“要是有人拿到这张‘小纸条’，看到上面写着‘1001’，说不定就能冒充这个用户——加密一下，就算拿到了，也看不懂‘1001_abc123’是什么意思。”你可以用MD5、Base64或者更安全的SHA-256，随便选一个你会的就行——重点是“别存明文”。
第二步：用户下次来，怎么“认人”？——检查Cookie有没有效
用户下次访问网站（比如打开index.jsp），你得先“查小纸条”：有没有没过期的“userLoginToken”Cookie？有的话，直接登录；没有的话，引导用户重新输账号密码。
具体怎么做？分4步：
用户的请求会带着所有Cookie过来，你得用request.getCookies()拿到Cookie数组，然后遍历找“userLoginToken”：
Cookie[] cookies = request.getCookies();
String userLoginToken = null;
if (cookies != null) {
for (Cookie c cookies) {
if ("userLoginToken".equals(c.getName())) {
userLoginToken = c.getValue();
break;
}
}
}
拿到userLoginToken后，你得把它拆开来——比如之前存的是“ userId_加密串”，那就用split("_")分开：
if (userLoginToken != null) {
String[] parts = userLoginToken.split("_");
if (parts.length == 2) {
String userId = parts[0]; // 拿到用户ID：1001
String encryptedStr = parts[1]; // 拿到加密串：abc123
// 去数据库查这个userId对应的用户信息
User user = userDao.findById(Integer.parseInt(userId));
// 验证加密串对不对（防止Cookie被篡改）
String realEncryptedStr = MD5Util.encode(user.getUsername() + "my_salt");
if (realEncryptedStr.equals(encryptedStr)) {
// 身份验证通过！把用户信息存到Session里，方便后续页面使用
session.setAttribute("loginUser", user);
// 直接跳转到首页，不用再登录
response.sendRedirect("index.jsp");
return; // 别忘加return，不然后面的代码还会执行
}
}
}
// 如果没找到有效Cookie，引导用户去登录页
response.sendRedirect("login.jsp");
这里要注意：必须验证加密串——要是有人把Cookie里的“1001_abc123”改成“1002_xyz789”，你得能识别出来“这个串是假的”。我朋友当时没加这步，结果测试时我改了Cookie值，居然直接登录了另一个用户，后来加上验证就好了。
避坑指南：这3个错误别犯，不然免登录功能白做
我去年帮朋友做的时候，踩了3个坑，现在提前告诉你，别再走弯路：
我之前碰到过有人直接把user.getPassword()写进Cookie，结果被黑客爬了 Cookie，盗了好几个用户账号——永远别把敏感信息存到Cookie里！就算要存，也得加密，哪怕是简单的MD5也行。
我再强调一遍：如果你的Cookie Path设成/login，那只有login.jsp能拿到它，index.jsp、user.jsp都拿不到——等于没做免登录。正确的做法是把Path设为“/”，让整个网站的所有页面都能访问这个Cookie。
用户点“退出”按钮时，你得把之前发的Cookie删掉——不是真的从用户电脑里删，而是发一个同名、有效期为0的Cookie，让浏览器覆盖原来的：
// 生成一个同名Cookie，值为空，有效期0
Cookie cookie = new Cookie("userLoginToken", "");
cookie.setMaxAge(0);
cookie.setPath("/");
response.addCookie(cookie);
// 同时清空Session里的用户信息
session.invalidate();
// 跳转到登录页
response.sendRedirect("login.jsp");
我朋友当时忘了这步，结果用户点“退出”后，还能直接进首页——后来加上这行代码，问题立马解决了。
最后：测试的时候，记得用不同浏览器试
我帮朋友做完后，用Chrome测没问题，结果他用Edge试的时候，Cookie存不上——后来发现是我把Cookie的domain设错了（我当时多此一举加了cookie.setDomain(".mywebsite.com")，但朋友的网站是本地测试的localhost）。测试时一定要用不同浏览器试，比如Chrome、Edge、Firefox，确保都能用。
怎么样？是不是比你想象中简单多了？我当时帮朋友做的时候，从改代码到测试成功，也就花了不到一小时——你要是按这些步骤试了，欢迎回来告诉我效果！要是碰到问题，比如Cookie存不上或者拿不到，随时来问我，我帮你看看。对了，W3C官方文档里也提到过Cookie是实现会话跟踪的常用方式（点击查看），你要是想更深入了解，可以去看看。
对了，记得测试的时候清一下浏览器Cookie，再重新登录——我当时就是清了Cookie再试，才发现Path没设对的问题。赶紧去试试吧，等你好消息！
JSP实现7天免登录必须用Cookie吗？有没有其他方法？
其实核心是要给用户存一个“7天有效的身份信息”，Cookie是最常用也最简单的方法。你也可以用Session，但Session默认有效期一般就30分钟左右，而且Session存在服务器端，用户关了浏览器就没了，没法实现7天免登录。所以对于新手来说，Cookie是最容易上手的，不用额外学框架，跟着步骤做就行。
Cookie里存什么信息比较安全？能存明文密码吗？
绝对不能存明文密码！我之前就碰到过有人直接把用户密码写进Cookie，结果被黑客爬了Cookie，盗了好几个账号——敏感信息千万不能存。你可以存“用户ID+加密串”，比如用MD5把“用户名+固定盐值”加密一下，再和用户ID拼起来（比如“1001_abc123”）。这样就算Cookie被人拿到，也看不懂具体内容，安全性高很多。
设置Cookie的时候，Path设为“/”有什么用？不设会怎么样？
Path是Cookie的“有效路径”，就像你给用户的“身份小纸条”只能在某个楼层用。如果不把Path设为“/”，比如你在login.jsp页面设的Cookie，Path默认就是“/login”，那只有login.jsp能拿到这张“小纸条”，index.jsp、user.jsp这些页面都拿不到，等于白做了免登录。所以必须把Path设为“/”，让整个网站的所有页面都能访问这个Cookie。
用户退出登录时，为什么要发有效期0的Cookie？直接删不行吗？
浏览器没法直接删掉用户电脑里的Cookie，只能用“覆盖”的方法。你发一个和原来同名、但有效期设为0的Cookie，浏览器看到有效期到了，就会自动把原来的Cookie删掉。要是不发这个Cookie，用户点了退出，原来的Cookie还在，下次打开网站还是能直接登录，等于退出没生效——这步可别忘，我朋友之前就漏了，结果用户反馈“退出不管用”。
测试免登录功能时，清浏览器Cookie再试有必要吗？
太有必要了！我帮朋友测试的时候，一开始没清Cookie，结果之前设的Cookie还在，点进网站直接就登录了，以为功能成了，后来清了Cookie再登录，才发现Path没设对——login.jsp设的Cookie，index.jsp拿不到，赶紧改了Path才好。清Cookie能模拟“用户第一次登录”的情况，帮你验证设置的Cookie是不是真的有效，比如有效期对不对、所有页面能不能拿到。
