java - 是否可以在 Servlet 中使用 char[] 而不是字符串来存储密码？

Question

我阅读了几篇关于安全的文章和帖子(注意 Comparing input password to stored hashed password in a web app或 Why is char[] preferred over String for passwords?

由于从请求中检索参数值使用返回字符串的 request.getParameter("passwordFieldName")，是否有任何选项可以从请求中检索参数作为 char[]？

Answer 1

很遗憾，我不知道有什么办法。

请求参数已经加载，希望在内部作为重用的 byte[] 或 char[]。但是之后？

所以也许应该重新实现一些 HTTP 服务器？不是我。

您可以在客户端将密码拆分为多个变量并对其进行加密。那是否更好？

如果您不信任您的服务器平台，最好使用 OpenID 或其他委托(delegate)身份验证。