安全地对密码进行URL编码

Question

Java为URL编码字符串提供了Urlencoder类。但是将密码存储为字符串被认为是不安全的。通过HttpSurlConnection输出流WR通过POST发送密码的代码是否足够安全？

try (DataOutputStream wr = new DataOutputStream(con.getOutputStream())) {
    // Write some post params
    for (char c : pass) {
        wr.writeBytes(URLEncoder.encode(String.valueOf(c), "UTF-8"));
    }
    // Write some more
}

一方面，它在使用字符串。另一方面，这些字符串只有1个字符长，编码后在概念上是相同的。而且，在我看来，这可能会在多字节字符上失败。攻击者是否能够在内存中找到这些1-char字符串并重建原始密码？有没有更好的办法做到这一点？

Answer 1

确实，当使用字符串作为密码时，您不能可靠地丢弃它们，因为您无法手动清零字符串内容（除非通过反射），并且内容将在内存中停留一段未知的时间。因此，通常建议将char[]用于任何密码输入，然后手动归零所述char[]。

然而，攻击并不容易发起，因为它需要访问内存，幸运的是时机。密码不太可能在内存中停留很长时间，因为GC执行它的工作，内存得到重用。在大多数情况下，与其他更简单的攻击相比，此攻击向量可能是不可行的。