使用Apache HTTP客户端而不将凭据作为字符串传递？

Question

在对我们的Swing应用程序进行审计后，我们的用户的某些密码似乎在他们登录甚至退出后很长时间仍保留在内存中。

原因之一似乎是Apache HttpClient的< code > UsernamePasswordCredentials 将密码存储为< code >最终字符串，防止以编程方式将其从内存中擦除(参见为什么char[]比String更适合用作密码？).

但是，由于它实现的< code>Credentials接口有一个< code>String getPassword()方法，因此在某些时候似乎不可能避免转换为< code>String。

在这种情况下，有没有其他方法可以避免将密码作为String传递？

我们正在使用HttpClient 4.0.3，但在最近的版本中似乎没有改变。

Answer 1

最后，我实施了Edd在他的答案的评论中提出的解决方法。

char[] password = …
final Credentials credentials = new UsernamePasswordCredentials(username, null) {
    @Override
    public String getPassword() {
        // AKCTAT-3791: this helps the GC to clear the String from the memory, as it will be used and dismissed immediately
        // Unfortunately Apache HTTP Client does not allow to pass the byte[] directly
        return new String(password);
    }
};
httpClient.getCredentialsProvider().setCredentials(ANY_AUTHSCOPE, (Credentials) auth.getCredentials());
// ... (do stuff with httpClient)
Arrays.fill(password, '\0');

看起来GC很快就把它从内存中删除了，但是这仍然只是一个没有保证的解决方法。

Answer 2

Apache说，使用密码字符串初始化用户名密码证书已被弃用

用户名密码证书（String用户名密码）
已弃用。
（4.5）将在5.0中替换为String， char[]

UsernamePasswordCredentials（String userName，String password）
带有用户名和密码参数的构造函数。

https://hc.apache.org/httpcomponents-client-ga/httpclient/apidocs/org/apache/http/auth/UsernamePasswordCredentials.html

您使用的是最新版本的库吗？如果是这样，他们不会将密码存储为String，而是存储为char[]。