应使用 char[] 而非 string 存储密码，因 string 不可变且驻留内存时间长，易被内存dump窃取；char[] 可主动清零，确保敏感信息不留痕迹。

因为 char[] 可主动擦除，而 String 一旦创建就无法修改内容，会以明文形式长期滞留内存。

不可变性带来内存残留风险

String 在 Java 中是不可变对象。每次对字符串的操作（比如拼接、截取）都会生成新对象，原字符串仍保留在内存中，直到垃圾回收器清理。而 JVM 的字符串池机制会让常用字符串（包括密码）被缓存复用，进一步延长其驻留时间。攻击者若能获取内存快照（如通过堆转储、core dump 或某些漏洞利用），极易从中直接提取明文密码。

• String 密码一旦进入字符串池，可能在内存中存在数分钟甚至更久
• 你无法通过代码强制让某个 String 立即“消失”，只能被动等待 GC
• 即使调用 password = null，也只是断开引用，原字符串内容仍在堆中

char[] 支持显式清除内容

字符数组是可变的，验证通过后可立即用 Arrays.fill(password, '<p>字符数组是可变的，验证通过后可立即用 <code>Arrays.fill(password, '\0') 或循环赋零覆盖原始数据。这能确保敏感信息在内存中不留痕迹——哪怕 GC 尚未触发，dump 出来的也只会是全零或乱码，而非真实密码。

') 或循环赋零覆盖原始数据。这能确保敏感信息在内存中不留痕迹——哪怕 GC 尚未触发，dump 出来的也只会是全零或乱码，而非真实密码。

Java Maven Secondary Analysis

分析ZIP压缩包或GitLab仓库中的Java Maven项目，确定二次开发范围、类数量、模块分布及生产相关指标。

下载

• 推荐方式：Arrays.fill(charPassword, '\0') 或 for (int i = 0; i
• 清除操作应在密码校验完成、且确认不再需要原始值后的第一时间执行
• 注意：不要在清除前将 char[] 转为 String（如 new String(charPassword)），否则又引入不可变副本

日志与调试输出更安全

打印 String 会输出明文内容；而直接打印 char[] 仅显示类似 [C@1a2b3c4d 的哈希地址，不会泄露密码本身。这降低了因误打日志、调试语句或异常堆栈导致密码意外暴露的风险。

• System.out.println("pwd: " + passwordStr); → 输出 pwd: 123456
• System.out.println("pwd: " + passwordArray); → 输出 pwd: [C@7a81197d
• 即便开发人员疏忽写了日志，char[] 也能提供一层“天然防护”

官方实践与标准推荐

Java 标准库从设计上就体现这一安全意识：Swing 的 JPasswordField 提供 getPassword()（返回 char[]），而早已弃用 getText()（返回 String）。《Java 加密体系结构指南》和《Oracle 安全编码准则》均明确建议：敏感字符数据应使用可清除的 char[]，而非不可变的 String。

• 不是“Java 偏好”，而是基于内存模型和攻击面分析形成的工程共识
• Spring Security、Apache Shiro 等主流框架内部处理凭证时也遵循该模式
• 它不替代哈希或加密，而是与之配合——先用 char[] 安全接收，再哈希存储，最后立即清空数组

Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南