虽然这里的其他建议似乎有效，但还有一个很好的理由。使用纯字符串时，意外将密码打印到日志、监视器或其他不安全的地方的可能性要大得多。char[]不那么脆弱。

考虑一下：

public static void main(String[] args) {
    Object pw = "Password";
    System.out.println("String: " + pw);

    pw = "Password".toCharArray();
    System.out.println("Array: " + pw);
}

打印：

String: Password
Array: [C@5829428e

编辑：经过一年的安全研究后，我回到了这个答案，我意识到这意味着你可能会比较明文密码。请不要。使用一个安全的单向散列和一个合理的迭代次数。考虑使用图书馆：这东西很难弄对！

原始答案：String.equals（）使用短路求值，因此容易受到定时攻击，这一事实如何？这可能不太可能，但理论上可以对密码比较计时，以确定正确的字符序列。

public boolean equals(Object anObject) {
    if (this == anObject) {
        return true;
    }
    if (anObject instanceof String) {
        String anotherString = (String)anObject;
        int n = value.length;
        // Quits here if Strings are different lengths.
        if (n == anotherString.value.length) {
            char v1[] = value;
            char v2[] = anotherString.value;
            int i = 0;
            // Quits here at first different character.
            while (n-- != 0) {
                if (v1[i] != v2[i])
                    return false;
                i++;
            }
            return true;
        }
    }
    return false;
}

关于定时攻击的更多资源：

定时攻击的教训关于信息安全堆栈交换上定时攻击的讨论当然，定时攻击维基百科页面

虽然这里的其他建议似乎有效，但还有一个很好的理由。使用纯字符串时，意外将密码打印到日志、监视器或其他不安全的地方的可能性要大得多。char[]不那么脆弱。

考虑一下：

public static void main(String[] args) {
    Object pw = "Password";
    System.out.println("String: " + pw);

    pw = "Password".toCharArray();
    System.out.println("Array: " + pw);
}

打印：

String: Password
Array: [C@5829428e

我认为这不是一个有效的建议，但是，我至少可以猜出原因。

我认为动机是希望确保在密码被使用后，您可以及时且确定地删除记忆中的所有密码痕迹。使用char[]，您可以用空白或确定的内容覆盖数组的每个元素。不能这样编辑字符串的内部值。

但这并不是一个好答案；为什么不确保对char[]或String的引用不转义？那么就没有安全问题了。但问题是，String对象在理论上可以被内部化，并在常量池中保持活动状态。我想使用char[]禁止这种可能性。

是否应该使用String或Char[]来实现这一目的是有争议的，因为两者都有各自的优点和缺点。这取决于用户需要什么。

由于Java中的字符串是不可变的，所以每当有人试图操纵字符串时，它会创建一个新的Object，而现有的字符串不会受到影响。这可以被视为将密码存储为字符串的一个优点，但即使在使用后，该对象仍保留在内存中。因此，如果有人以某种方式获得了对象的内存位置，那么此人可以很容易地跟踪存储在该位置的密码。

Char[]是可变的，但它的优点是在使用后，程序员可以显式地清理数组或重写值。因此，当它被使用后，它会被清理干净，没有人会知道你存储的信息。

基于以上情况，我们可以根据他们的需求来决定是使用String还是使用Char[]。

字符数组（char[]）可以在使用后通过将每个字符设置为零而不设置为字符串来清除。如果有人能够以某种方式看到内存映像，那么如果使用字符串，他们可以看到纯文本的密码，但是如果使用char[]，则在用0清除数据后，密码是安全的。