Java中的密码安全-将char[]转换为String

Question

我正在尝试为一个网站构建一个非官方的api。它将要求用户登录，密码将使用标准的Console.readPassword（）方法从控制台读取。现在，这给了我一个char数组，但是我必须使用Apache的HttpClient库中的HttpPost类通过POST请求发送密码。为此，需要一个字符串，但是将密码转换为字符串会产生安全风险。我能做什么？

编辑：我知道如何将字符数组转换为字符串。问题是String是不可变的，因为您不能在Java中显式删除对象，所以密码将留在内存中。

Answer 1

我的建议是在客户端对输入用户的密码进行哈希处理，并将哈希发送到服务器，因为在服务器端存储纯文本密码首先是一种安全风险。此答案列出了在java中散列密码的整个方法，然后在用户登录时使用存储在服务器上的散列对密码进行身份验证。

Answer 2

如果您的意思是要在HTTP“Basic”身份验证中使用密码，那么从5.0版开始，Apace HTTP的UsernamePasswordCreentals支持传递char[]。

如果您的意思是想在HttpPost的主体中传递密码，也就是说它必须在 Http实体HttbEntity内， HttpEntity是一个接口，理论上您可以根据需要实现 和 ，包括始终将密码作为字符数组保存。不过，编码时要小心，因为将 char[]转换为 byte[]而不会有人泄漏它的副本是很重要的。

Answer 3

为了防止堆检查，安全人员会用语言告诉您奇妙的安全字符串概念。

我曾经是这个的信徒，现在不再是了。值得注意的是，.Net的等效产品SecureString正在逐步淘汰 - 您只需要观看大约10分钟的精彩youtube视频即可了解原因。这个概念听起来很棒，直到你必须对数据做一些事情，然后很可能你不能再保持它的安全（就像你的情况一样 - 你需要使用Apache库）。此外，在许多平台上，加密字符串的密钥与字符串本身位于相同的内存空间中，因此它确实比安全性更具混淆性。另请参阅安全堆栈交换讨论。

底线:这是语言中的一个固有问题，你没有太多的办法来保护它。