Почему для хранения паролей предпочтительнее использовать char[] вместо String?

Основная проблема: неизменяемость String

Вы правы, String в Java действительно неизменяем (immutable). Но именно это свойство делает его опасным для хранения паролей. Давайте разберёмся почему.

Риск 1: Пароль остаётся в памяти

Когда вы используете String password = "secret", объект строки создаётся и остаётся в куче (heap) до тех пор, пока сборщик мусора не решит его удалить. Вы не можете явно очистить содержимое String. Даже если вы присвоите переменной null, сам объект строки может всё ещё существовать в памяти. При этом:

• Строки могут попадать в пул строк (String pool) и жить там вечно
• Строки могут быть скопированы в логи, дампы памяти, файлы подкачки
• Злоумышленник, получив дамп памяти, может извлечь пароль

Риск 2: Интернирование строк

Java автоматически интернирует строковые литералы. Если вы пишете String pwd1 = "password123" и String pwd2 = "password123", оба будут ссылаться на один и тот же объект в пуле строк. Это делает пароль доступным в глобальном пуле.

Решение: использование char[]

Массив символов char[] — изменяемый объект. Вы можете явно очистить его содержимое сразу после использования пароля:

public class SecurePasswordHandler {
    public void processPassword(char[] password) {
        try {
            // Используем пароль
            System.out.println("Пароль принят: " + new String(password));
        } finally {
            // Обнуляем массив сразу после использования
            Arrays.fill(password, '\u0000');
        }
    }
    
    // Пример использования
    public static void main(String[] args) {
        char[] userPassword = {'s', 'e', 'c', 'r', 'e', 't'};
        SecurePasswordHandler handler = new SecurePasswordHandler();
        handler.processPassword(userPassword);
        // После вызова массив userPassword уже очищен
    }
}

Правильный подход к работе с паролями

1. Никогда не храните пароль в String — используйте char[] или, лучше, javax.security.auth.password.Password (Java 8+)
2. Очищайте массив сразу после использования — методом Arrays.fill() или циклом
3. Не логируйте пароли — даже в замаскированном виде
4. Используйте хеширование — никогда не храните пароль в открытом виде. Применяйте BCrypt, SCrypt или PBKDF2
5. Для сравнения — преобразуйте char[] в хеш и сравнивайте хеши, а не сами пароли

Пример безопасного хранения с хешированием

import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import java.util.Arrays;

public class SecurePasswordStorage {
    public String hashPassword(char[] password) {
        try {
            MessageDigest digest = MessageDigest.getInstance("SHA-256");
            byte[] passwordBytes = new byte[password.length];
            for (int i = 0; i < password.length; i++) {
                passwordBytes[i] = (byte) password[i];
            }
            byte[] hash = digest.digest(passwordBytes);
            Arrays.fill(passwordBytes, (byte) 0);
            return bytesToHex(hash);
        } catch (NoSuchAlgorithmException e) {
            throw new RuntimeException(e);
        }
    }
    
    private String bytesToHex(byte[] hash) {
        StringBuilder hexString = new StringBuilder();
        for (byte b : hash) {
            hexString.append(String.format("%02x", b));
        }
        return hexString.toString();
    }
}

Таким образом, char[] даёт вам контроль над временем жизни данных в памяти, что критически важно для безопасности паролей.

logger.info("Пароль пользователя: " + password);

char[] pwd = {'t', 'e', 's', 't'};
// Безопасный вывод
logger.info("Пароль получен, длина: " + pwd.length);
// Опасный вывод — не делайте так
logger.info("Пароль: " + new String(pwd));