在Swing中，密码字段有一个getPassword（）（returns char[]）方法，而不是通常的getText（）（return String）方法。同样，我也遇到了一个建议，不要使用String来处理密码。
为什么字符串对密码安全构成威胁？使用char[]感觉不方便。
当前回答
字符串是不可变的，它将进入字符串池。一旦写入，就无法覆盖。
char[]是一个数组，当您使用密码时，应该覆盖该数组，这是应该这样做的：
char[] passw = request.getPassword().toCharArray()
if (comparePasswords(dbPassword, passw) {
allowUser = true;
cleanPassword(passw);
cleanPassword(dbPassword);
passw = null;
}
private static void cleanPassword (char[] pass) {
Arrays.fill(pass, '0');
}
攻击者可以使用它的一种情况是，当JVM崩溃并生成内存转储时，您将能够看到密码。
这不一定是恶意的外部攻击者。这可能是一个支持用户，可以访问服务器进行监控。他/她可以偷看垃圾堆并找到密码。
其他回答
字符串是不可变的。这意味着一旦创建了String，如果另一个进程可以转储内存，那么在垃圾收集开始之前，就没有办法（除了反射之外）清除数据。
使用数组，您可以在完成后显式擦除数据。您可以用任何您喜欢的内容覆盖数组，并且密码不会出现在系统中的任何位置，甚至在垃圾收集之前。
是的，这是一个安全问题，但即使使用char[]也只会减少攻击者的机会窗口，而且只针对这种特定类型的攻击。
如注释中所述，垃圾收集器移动的数组可能会在内存中留下数据的零散副本。我认为这是特定于实现的——垃圾收集器可以在运行时清除所有内存，以避免这种情况。即使这样，char[]仍有一段时间包含实际字符作为攻击窗口。
引用一份官方文档，Java Cryptography Architecture指南介绍了char[]与String密码（关于基于密码的加密，但这更一般地是关于密码）：
将密码收集并存储在对象中似乎是合乎逻辑的然而，这里有一个警告：类型String是不可变的，即没有定义允许您更改（覆盖）或清零字符串的内容使用后。此功能使字符串对象不适合存储诸如用户密码之类的安全敏感信息。你应始终在char数组。
Java编程语言4.0版安全编码指南2-2也提到了类似的内容（尽管最初是在日志记录的上下文中）：
准则2-2：不记录高度敏感信息一些信息，如社会安全号码（SSN）和密码是高度敏感的。此信息不应保留无论在什么地方，甚至在管理员。例如，不应将其发送到日志文件和它的存在不应该通过搜索来检测。一些瞬态数据可以保存在可变数据结构中，例如char数组，以及使用后立即清除。清除数据结构减少了当对象移入时，在典型的Java运行时系统上的有效性存储器对程序员来说是透明的。本指南还对实施和使用没有数据语义知识的低级库他们正在处理。例如，低级字符串解析库可以记录其工作的文本。应用程序可以解析SSN与图书馆。这会导致SSN管理员可以访问日志文件。
除非您在使用后手动清理，否则char数组不会为您提供字符串，我还没有看到有人真正这样做。所以对我来说，char[]和String的偏好有点夸张。
看看这里广泛使用的SpringSecurity库，问问你自己——SpringSecurity的家伙们是无能还是字符密码根本没有意义。当一些讨厌的黑客从你的RAM中获取内存转储时，即使你使用复杂的方法隐藏密码，也要确保他/她会得到所有密码。
然而，Java一直在变化，一些可怕的特性，如Java8的字符串重复数据消除特性，可能会在您不知情的情况下实习字符串对象。但这是一个不同的对话。
大小写字符串：
String password = "ill stay in StringPool after Death !!!";
// some long code goes
// ...Now I want to remove traces of password
password = null;
password = "";
// above attempts wil change value of password
// but the actual password can be traced from String pool through memory dump, if not garbage collected
案例CHAR阵列：
char[] passArray = {'p','a','s','s','w','o','r','d'};
// some long code goes
// ...Now I want to remove traces of password
for (int i=0; i<passArray.length;i++){
passArray[i] = 'x';
}
// Now you ACTUALLY DESTROYED traces of password form memory
是否应该使用String或Char[]来实现这一目的是有争议的，因为两者都有各自的优点和缺点。这取决于用户需要什么。
由于Java中的字符串是不可变的，所以每当有人试图操纵字符串时，它会创建一个新的Object，而现有的字符串不会受到影响。这可以被视为将密码存储为字符串的一个优点，但即使在使用后，该对象仍保留在内存中。因此，如果有人以某种方式获得了对象的内存位置，那么此人可以很容易地跟踪存储在该位置的密码。
Char[]是可变的，但它的优点是在使用后，程序员可以显式地清理数组或重写值。因此，当它被使用后，它会被清理干净，没有人会知道你存储的信息。
基于以上情况，我们可以根据他们的需求来决定是使用String还是使用Char[]。
