Почему для хранения паролей в Java предпочтительнее char[] вместо String?

Почему String — это проблема для паролей?

Вы правы, что String immutable. Но именно это и создаёт главную уязвимость. Когда вы создаёте строку с паролем, она попадает в пул строк (String pool) или в кучу (heap). Проблема в том, что вы не можете немедленно и гарантированно удалить её из памяти. Даже если присвоить переменной null, строка продолжает висеть в памяти до следующего прохода сборщика мусора. А когда сборщик мусора её удалит — данные всё ещё могут остаться в памяти JVM в виде фрагментов, которые теоретически можно прочитать через дамп памяти (heap dump) или с помощью инструментов отладки.

В отличие от String, массив char[] — изменяемый. Вы можете перезаписать его содержимое сразу после использования:

char[] password = console.readPassword("Введите пароль: ");
// ... проверка пароля ...
java.util.Arrays.fill(password, ' '); // Очищаем массив

После вызова Arrays.fill() все символы в массиве заменяются на пробелы. Данные уничтожаются немедленно, и никакой дамп памяти их не восстановит.

Дополнительные риски String:

• String pool: Если строка создана через литерал или intern(), она остаётся в пуле строк навсегда. Даже сборщик мусора её не тронет.
• Логирование: Строки часто случайно попадают в логи. Массив char не выводится напрямую как текст (без явного преобразования).
• Копирование: При передаче String в методы создаются новые ссылки на тот же объект. Вы теряете контроль над временем жизни строки.

Как правильно работать с паролями в Java?

Используйте java.io.Console или javax.swing.JPasswordField, которые возвращают char[]. Никогда не преобразовывайте их в String без крайней необходимости. Пример полного цикла:

import java.io.Console;
import java.util.Arrays;

public class PasswordHandler {
    public static void main(String[] args) {
        Console console = System.console();
        if (console == null) {
            System.err.println("Консоль недоступна");
            return;
        }

        char[] password = console.readPassword("Введите пароль: ");
        
        // Проверяем пароль (сравнение через Arrays.equals, а не String.equals)
        char[] storedPassword = {'s', 'e', 'c', 'r', 'e', 't'};
        boolean isValid = Arrays.equals(password, storedPassword);
        
        // Немедленно очищаем оба массива
        Arrays.fill(password, ' ');
        Arrays.fill(storedPassword, ' ');
        
        if (isValid) {
            System.out.println("Доступ разрешён");
        } else {
            System.out.println("Неверный пароль");
        }
    }
}

Дополнительные рекомендации:

• Не храните пароли в открытом виде — используйте хеширование (bcrypt, PBKDF2, Argon2).
• Для сравнения паролей используйте Arrays.equals() или MessageDigest.isEqual() (устойчивое к timing-атакам сравнение).
• Старайтесь минимизировать время жизни массива с паролем.
• В современных фреймворках (Spring Security) пароли уже передаются как char[] или обрабатываются через специальные утилиты.

Таким образом, выбор char[] — это не прихоть, а осознанная мера безопасности, которая снижает риск утечки конфиденциальных данных из памяти приложения.