将密码存储在java代码中是否安全？[重复]

Question

我知道在java源代码中以字符串形式存储密码是不安全的。通常，最好将其存储在具有char[]类型的变量中。以以下形式存储密码安全吗？

char[] password = "my password".toCharArray();

字符串“my password”是否出现在编译的java类文件中？在我看来，在编译源代码之后，“我的密码”不会出现在我的类文件中。但我仍然不能100%确定我可以使用描述的表示来存储密码。

我能否安全地使用这个结构，并确保密码受到保护，除非有人从源代码中获取密码？

编辑：如果我存储密钥而不是密码在描述的格式："key". toCharArray（）？它是否减少了我的密码被黑客攻击的机会？

Answer 1

正如其他人所提到的，在代码中存储密码通常是一个非常糟糕的主意，尽管单向散列函数可能会为您提供可接受的安全级别。

要演示您提出的技术不安全的原因，请尝试编译以下文件：

// Password.java
public class Password {
  private String strPass = "i<3bieber";
  private char[] chrPass = "belieber".toCharArray();
}

在命令行上：

$ javac Password.java
$ strings Password.class

您将看到字符串出现在编译代码中，并且易于访问。

Answer 2

字符数组出现在已编译二进制代码的数据部分，与字符串一样。他们必须——否则JVM怎么知道数组中有什么？所以，这实际上只是“默默无闻的安全”，这是永远不应该做的（而且对任何事情都没有帮助）。

更重要的是，您的操作方式（首先创建字符串并将其转换为数组）甚至不会让事情变得模糊——字符串仍然是首先创建的，因此是二进制文件数据部分的一部分。

Answer 3

在source period中没有安全的方法存储密码。

代码可以读取的任何信息，熟练的攻击者也可以读取。