java - 操纵密码

Question

我的 Java 应用程序操纵一个最终用于加密文件的密码。我将它加载到一个结构中

public char[] password; 

因为我在swing JPasswordField中看到了。

我想这增加了一定程度的保护，防止内存扫描密码。我认为这只是一点点“模糊”的程度，并不是真正的保护。在我看来，这很有用，因为它对许多普通扫描仪都有效。事情是这样的，还是我遗漏了什么？

Answer 1

有些人喜欢使用 char[] 而不是 String 的原因是 char[] 在使用后可以被清除当密码出现在核心转储中或通过绑定(bind)检查从缓冲区读取失败而暴露时，缩小窗口。

但是，由于多种原因，它不能很好地用于 JPasswordField:

• GC 可以移动对象而不必立即清空原始副本。
• JPasswordField 通常与 ActionListener 一起使用，它接收密码作为 ActionEvent 中的命令字符串。
• Document 实现可以复制。
• 人们忘记在提取 char[] 后清空 JPasswordField。
• 可能还有更重要的安全事项需要您花费精力(例如机场安检人员留意瓶装水并让炸弹部件通过)。

在专业方面，您可以获得 list 功能，并且无需解释自己，因为您正在执行最佳实践。