通过在垃圾收集之前使用反射清除内容，安全地使用字符串作为密码

Question

使用反射擦洗String是否使使用String与使用char[]作为密码一样安全？

从安全性方面来看，通常认为使用char[]存储/传递密码是最佳做法，因为可以在代码中尽快将其内容归零，这可能在垃圾收集清理和重新使用内存（清除所有跟踪）之前就已经很明显了，从而限制了内存攻击的时间窗口。

然而，char[]不如String方便，因此如果需要，可以“擦洗”String，从而使String与char[]一样安全，这将非常方便。

下面是一个使用反射将String字段归零的方法。

这种方法“正常”吗？它是否实现了使字符串与密码的字符【】一样安全的目标？

public static void scrub(String str) throws NoSuchFieldException, IllegalAccessException {
    Field valueField = String.class.getDeclaredField("value");
    Field offsetField = String.class.getDeclaredField("offset");
    Field countField = String.class.getDeclaredField("count");
    Field hashField = String.class.getDeclaredField("hash");
    valueField.setAccessible(true);
    offsetField.setAccessible(true);
    countField.setAccessible(true);
    hashField.setAccessible(true);
    char[] value = (char[]) valueField.get(str);
    // overwrite the relevant array contents with null chars
    Arrays.fill(value, offsetField.getInt(str), countField.getInt(str), '\0');
    countField.set(str, 0); // scrub password length too
    hashField.set(str, 0); // the hash could be used to crack a password
    valueField.setAccessible(false);
    offsetField.setAccessible(false);
    countField.setAccessible(false);
    hashField.setAccessible(false);
}

下面是一个简单的测试：

String str = "password";
scrub(str);
System.out.println('"' + str + '"');

输出：

""

注意：您可以假设密码不是String常量，因此调用此方法不会对插入的String产生不利影响。

此外，为了简单起见，我认为该方法是一种相当“原始”的状态。如果我使用它，我不会声明抛出的异常（try/catch/忽略它们），也不会重构重复的代码。

Answer 1

我反对字符串的一个论点是，无意中复制字符串太容易了。理论上安全使用字符串是可能的，但是整个库生态系统是基于复制字符串完全可以的假设。最后，考虑到所有的限制，字符串在这个用例中可能不像通常那样方便。

Answer 2

有两个潜在的安全问题：

>

String可能与其他String共享它的后备数组；例如，如果String是通过在更大的String上调用substring创建的。因此，当整个value数组为零时，可能会覆盖其他不包含密码的字符串的状态。

解决方法是只将密码字符串使用的支持数组部分归零。

JLS（17.5.3）警告说，使用反射来更改最终变量的影响尚未定义。

然而，这里的上下文是Java内存模型，以及允许编译器积极缓存final变量这一事实。在这种情况下：

>

您会期望String是线程受限的，并且

你不应该再使用这些变量了。

我不认为这两个是真正的问题...模数修复value的过度侵略性归零。

但真正令人担忧的是迅猛龙。：-）

我很困惑，你会真的费心去像这样清除密码。当你想到这一点时，你要防范的是有人可以读取进程内存...或者核心转储或交换文件...来检索密码的可能性。但是如果有人能做到这一点，你的系统安全肯定已经受到威胁了... cos的这些东西很可能需要root访问权限（或等效的权限）。如果他们有root访问权限，他们可以“调试”你的程序，并在你的应用程序清除密码之前捕获密码。