java - 我应该担心密码安全吗？

Question

就目前情况而言，这个问题不太适合我们的问答形式。我们希望答案得到事实、引用资料或专业知识的支持，但这个问题可能会引发辩论、争论、民意调查或扩展讨论。如果您觉得这个问题可以改进并可能重新开放， visit the help center以获得指导。

已关闭 10 年前。

我的应用程序在其 GUI 上显示 IP 地址和密码。密码会定期更改(针对每个连接到该密码的新用户)，并且仅由连接者使用一次，以确保他们连接到正确的设备。例如，两个相邻的 friend 想要使用我的应用程序，其中一个会查看服务器的密码，以确保他们不会意外连接到附近使用该应用程序的另一个人。

用户还可以与另一台设备“配对”，在这种情况下，系统会要求他们输入密码一次，然后要求服务器用户确认配对过程，然后就不再需要密码了。为此，我将随机生成的新密码和其他用户的 MAC 地址保存在数据库中。

目前我使用String可以在我的应用程序中的各个位置存储和比较密码。我读过使用 char使用数组来存储密码更安全，因为您不必担心实习池将密码保存在内存中。

对于我的用例，我真的需要担心这种安全性吗？我不处理任何用户敏感信息，我只是喜欢有一个安全网。

附带问题，如何显示 char 中保存的密码Swing GUI 上的数组，而不将其转换为 String无论如何？

Answer 1

恕我直言，使用字符数组只会给您一种安全性更高的错觉。如果有人可以物理访问您的计算机及其内存，那么使用字符串或字符数组不会产生巨大的影响。

回答您提出的问题。问题不在于驻留字符串池，因为您不会驻留随机生成的字符串。问题在于 STring 是不可变的，因此一直保留在内存中直到垃圾收集，而没有任何(合理的)方法来重置其内容。不再需要 char 数组时，所有元素都可以重置为 0。

关于显示密码而不将其转换为字符串的方法，您可以直接在 JComponent 上直接绘制每个字符。但是，如果您准备在屏幕上显示密码，那么将密码保留在内存中隐藏的位置对我来说是非常矛盾的。