为什么密码存储更倾向于使用char[]而非String？

原创于 2025-06-20 07:32:40 发布 · 420 阅读

7 ·

CC 4.0 BY-SA版权

文章标签：

#python #java #开发语言

为什么密码存储更倾向于使用char[]而非String？

技术背景

在Java编程中，处理密码等敏感信息时，选择合适的数据类型至关重要。String和char[]都可以用来存储密码，但从安全角度考虑，char[]通常更受青睐。这涉及到String的不可变性、内存管理以及数据泄露风险等多方面因素。

实现步骤

使用`String`存储密码

import java.util.Scanner;

public class StringPasswordExample {
    public static void main(String[] args) {
        Scanner scanner = new Scanner(System.in);
        System.out.println("请输入密码:");
        String password = scanner.nextLine();
        // 使用密码进行验证等操作
        // 操作完成后，尝试清除密码
        password = null;
        scanner.close();
    }
}

使用`char[]`存储密码

import java.util.Arrays;
import java.util.Scanner;

public class CharArrayPasswordExample {
    public static void main(String[] args) {
        Scanner scanner = new Scanner(System.in);
        System.out.println("请输入密码:");
        char[] password = scanner.nextLine().toCharArray();
        // 使用密码进行验证等操作
        // 操作完成后，清除密码
        Arrays.fill(password, '0');
        scanner.close();
    }
}

核心代码

手动清除`String`内容（使用反射）

import java.lang.reflect.Field;
import java.util.Arrays;
import java.util.Scanner;

public class ClearStringPassword {
    public static void main(String[] args) {
        System.out.println("请输入密码");
        Scanner in = new Scanner(System.in);
        String password = in.nextLine();
        usePassword(password);

        clearString(password);

        System.out.println("密码: '" + password + "'");
        in.close();
    }

    private static void usePassword(String password) {
        // 模拟使用密码的操作
    }

    private static void clearString(String password) {
        try {
            Field value = String.class.getDeclaredField("value");
            value.setAccessible(true);
            char[] chars = (char[]) value.get(password);
            Arrays.fill(chars, '*');
        } catch (Exception e) {
            throw new AssertionError(e);
        }
    }
}

清除`char[]`内容

import java.util.Arrays;

public class ClearCharArrayPassword {
    public static void main(String[] args) {
        char[] passw = {'p', 'a', 's', 's', 'w', 'o', 'r', 'd'};
        // 使用密码进行验证等操作
        cleanPassword(passw);
        passw = null;
    }

    private static void cleanPassword(char[] pass) {
        Arrays.fill(pass, '0');
    }
}

最佳实践

使用char[]存储密码：在获取密码后，将其存储在char[]中，并在使用完毕后，立即使用Arrays.fill()方法将数组元素清零，以确保密码不会在内存中残留。
避免使用String存储敏感信息：除非有特殊需求，否则不要使用String存储密码等敏感信息，因为String的不可变性会导致其在内存中长时间存在，增加数据泄露的风险。
谨慎使用反射：虽然可以使用反射来清除String的内容，但反射会破坏封装性，并且在某些环境下可能会受到限制，因此应谨慎使用。