解密后的敏感字符串必须立即转为char[]并安全擦除，因string不可变会导致明文长期滞留内存；正确流程是：tochararray()→业务使用→finally中arrays.fill(pwd, '\0')→可选pwd=null；严禁转string、部分擦除或忽略finally。

解密后得到的敏感字符串，不能直接用 String 类型持有，否则明文会不可控地滞留堆内存甚至字符串常量池。正确做法是：**立刻转为 char[]，使用完毕后立即擦除，且全程避免生成中间 String 对象**。

为什么必须转成 char[] 而不是保留 String

String 是不可变的，任何操作（包括解密返回的 String）都会让原始字符数组长期驻留在堆中，直到 GC 触发——而 GC 时间不可控，且字符串可能被放入常量池重复使用，风险极高。
char[] 是可变的，允许你主动、确定地覆盖每个元素，实现“安全擦除”（secure wipe），这是防御内存 dump 攻击的关键一步。

解密后安全擦除的标准流程

假设你通过某加密库解密出一个密码字符串：

Java Maven Code Review

审查Java Maven项目（ZIP压缩包或GitLab仓库URL），检查代码规范、命名、模块边界、可维护性问题以及重复代码。

下载

• 不要写：String pwd = decrypt(...); —— 这会让明文在内存中裸奔
• 应写：char[] pwd = decrypt(...).toCharArray(); —— 立即切断不可变引用
• 业务使用完成后（如校验、加盐哈希等），在 finally 块中擦除：Arrays.fill(pwd, '\0');
• 可选但推荐：pwd = null; 辅助 GC，但注意：赋 null 本身不擦除内容，只是断开引用

特别注意的高危陷阱

绝不能在擦除前做这些事：

• 把 char[] 转成 String（例如 new String(pwd)），否则又生成一份不可擦除的明文副本
• 只擦除部分长度（如漏掉末尾几个元素），应始终用 Arrays.fill(pwd, '\0') 或明确指定范围 Arrays.fill(pwd, 0, pwd.length, '\0')
• 把擦除逻辑放在 try 块里却没兜底——异常抛出时会跳过擦除，必须进 finally
• 依赖 JVM 优化自动删数组——JVM 可能判定擦除无用而直接优化掉，需确保擦除语句有可见副作用（如配合 volatile 引用或后续使用）

如果解密结果只能是 String 怎么办

某些 API 强制返回 String（如部分 JSON 解析器、旧版加解密工具），此时需用反射临时擦除其内部 value 字段（仅限 new String(...) 实例，严禁用于字面量或常量池字符串）：

• 获取私有字段 value：Field f = String.class.getDeclaredField("value");
• 设为可访问并替换为全 \0 数组：f.setAccessible(true); f.set(str, new char[]{'\0', '\0', ...});
• 操作后立即设回不可访问：f.setAccessible(false);
• 注意：该方式有兼容性风险（如 Java 9+ 模块限制），生产环境优先改造上游 API，让其支持 char[] 输出

Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南