stringbuilder适合密码掩码因可变性避免string拼接的频繁对象创建和gc压力，预设容量批量append实现高效统一字符填充。
Java 中用 StringBuilder 实现密码掩码生成器，核心是避免字符串拼接开销，同时安全地隐藏原始密码内容。关键不是“加密”，而是按需生成掩码格式（如 **** 或 ••••），且不留下明文残留。
为什么选 StringBuilder 而不是 String +
String 是不可变的，每次 += 都新建对象，对长密码或高频调用会造成大量临时对象和 GC 压力。StringBuilder 可变、线程不安全但高效，适合单次构建掩码字符串。
- 10 位密码用
String +=会创建 10 个中间String对象 - 用
StringBuilder只分配一次缓冲区，append 十次仍是同一对象 - 尤其在日志脱敏、UI 显示、审计输出等场景，性能差异明显
基础掩码：统一字符重复填充
最常见需求是把密码转成固定长度的星号或圆点。直接用 StringBuilder 预设容量并批量 append：
public static String maskPassword(String password) {
if (password == null) return "";
int len = password.length();
StringBuilder sb = new StringBuilder(len); // 预设容量，避免扩容
for (int i = 0; i <p>也可用更简洁写法（JDK11+）：<code>return "*".repeat(password.length());</code>，但 <code>repeat</code> 内部仍用 <code>StringBuilder</code>，两者性能接近；手动控制更利于定制逻辑（比如混合掩码）。</p><h3>增强掩码：保留首尾，中间隐藏</h3><p>满足合规要求（如显示前2后2位）：用 <code>StringBuilder</code> 拼接可见部分 + 掩码段，避免 substring 产生多余字符串：</p><div class="aritcle_card flexRow artxards">
<div class="artcardd flexRow">
<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill7957" title="js2java"><img
src="https://img.php.cn/upload/skill/000/000/081/179178140274370.jpg" alt="js2java" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
<div class="aritcle_card_info flexColumn">
<a rel="nofollow" href="/xiazai/skill7957" title="js2java" class="overflowclass">js2java</a>
<p class="overflowclass">JavaScript 到 Java 全栈翻译助手，专为前端开发者学习 Java 或快速实现后端业务逻辑而设计。当用户提到以下场景时必须使用此技能： - "帮我把这段 JS 代码转成 Java" - "用 Java 怎么写这个逻辑" - "我习惯用 JS 写，想翻译成 Java" - "教我 Java，我要写后端接...</p>
</div>
<a rel="nofollow" href="/xiazai/skill7957" title="js2java" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
</a>
</div>
</div>
- 先 append 前缀（如前2字符）
- 再 append 中间掩码（长度 = 总长 − 前缀长 − 后缀长）
- 最后 append 后缀（如后2字符）
示例：
public static String maskPartial(String password) {
if (password == null || password.length() <h3>安全提醒：别让明文留在内存里</h3><p><code>StringBuilder</code> 本身不自动清空，如果密码是 <code>char[]</code> 输入，建议用完立即覆盖：</p>
- 接收参数优先用
char[]，避免String常量池驻留 - 构建完掩码后，可调用
sb.setLength(0)重置内部数组（不释放内存但清空内容） - 若处理敏感数据，最终返回掩码字符串后，应显式将原始
char[]置为null或全填'\0'
例如：Arrays.fill(rawPassword, '\0');
不复杂但容易忽略：掩码只是展示层保护，真正敏感操作仍需结合加密存储、HTTPS 传输、权限隔离等措施。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
