Java中char[]为何比String更适合处理密码

技术背景

在Java编程里，尤其是处理密码时，String和char[]是两种常见的选择。在Swing中，密码字段提供了getPassword()方法（返回char[]）而非通常的getText()方法（返回String）。这反映出业界建议避免使用String来处理密码，其背后有着重要的安全考量。

实现步骤

使用String处理密码

import java.util.Scanner;

public class PasswordWithString {
    public static void main(String[] args) {
        Scanner scanner = new Scanner(System.in);
        System.out.println("请输入密码:");
        String password = scanner.nextLine();
        // 模拟使用密码进行验证
        if (password.equals("correctPassword")) {
            System.out.println("验证成功");
        } else {
            System.out.println("验证失败");
        }
        // 后续操作，无法主动清除password内容
    }
}

使用char[]处理密码

import java.util.Arrays;
import java.util.Scanner;

public class PasswordWithCharArray {
    public static void main(String[] args) {
        Scanner scanner = new Scanner(System.in);
        System.out.println("请输入密码:");
        char[] password = scanner.nextLine().toCharArray();
        // 模拟使用密码进行验证
        if (Arrays.equals(password, "correctPassword".toCharArray())) {
            System.out.println("验证成功");
        } else {
            System.out.println("验证失败");
        }
        // 清除密码内容
        Arrays.fill(password, '0');
    }
}

核心代码

清除char[]中的密码信息

import java.util.Arrays;

public class ClearPasswordInCharArray {
    public static void main(String[] args) {
        char[] password = {'p', 'a', 's', 's', 'w', 'o', 'r', 'd'};
        // 使用密码进行操作
        // ...
        // 清除密码
        Arrays.fill(password, '0');
    }
}

尝试使用反射清除String中的密码信息

import java.lang.reflect.Field;
import java.util.Arrays;
import java.util.Scanner;

public class ClearPasswordInString {
    public static void main(String[] args) {
        Scanner scanner = new Scanner(System.in);
        System.out.println("请输入密码:");
        String password = scanner.nextLine();
        usePassword(password);
        clearString(password);
        System.out.println("password: '" + password + "'");
    }

    private static void usePassword(String password) {
        // 使用密码进行操作
    }

    private static void clearString(String password) {
        try {
            Field value = String.class.getDeclaredField("value");
            value.setAccessible(true);
            char[] chars = (char[]) value.get(password);
            Arrays.fill(chars, '*');
        } catch (Exception e) {
            throw new AssertionError(e);
        }
    }
}

最佳实践

• 使用char[]：优先选用char[]来存储密码，在使用完密码后，及时使用Arrays.fill()方法将数组元素清零，以清除密码信息。
• 避免不必要的密码存储：仅在必要时存储密码，验证完成后尽快清除。
• 使用安全的密码验证方法：避免直接比较明文密码，应使用安全的哈希算法（如BCrypt）对密码进行哈希处理后再验证。

常见问题

使用char[]一定安全吗？

并非绝对安全。虽然char[]能主动清除内容，但在垃圾回收过程中，数组可能会被移动，从而在内存中留下残留副本。不过，这仍能减少攻击者获取密码的机会。

反射清除String内容可行吗？

反射可以修改String内部的字符数组，但存在风险。一方面，反射破坏了String的不可变特性，可能引发其他问题；另一方面，在GC周期中，String的字符数组可能已被复制，旧副本仍可能存在于内存中。

为何不直接禁用核心转储和交换文件来解决问题？

禁用核心转储和交换文件需要管理员权限，且可能会影响系统功能（如减少可用内存）。此外，即使禁用了这些，攻击者仍可能通过其他方式获取内存数据，因此使用char[]仍是一种有效的安全措施。