将用户密码存入request对象供后续中间件调用是否安全？

这种做法非常不安全，主要存在以下几个风险：

• 内存泄露风险：请求处理过程中，Request对象会一直驻留在内存里。如果应用出现内存溢出、被调试工具dump内存，或者服务器存在内存读取漏洞，明文密码很容易被窃取。
• 日志泄露风险：很多框架在调试、报错场景下会自动记录Request的内容，要是不小心开启了详细日志，明文密码就会被写入日志文件，后续如果日志管理不当，直接造成敏感信息泄露。
• 中间件风险：后续如果引入第三方中间件，或者自定义中间件存在逻辑漏洞，可能会意外读取Request里的密码字段，导致密码外泄。
• 生命周期风险：如果Request对象在异步场景下没有被及时销毁回收，密码会在内存中留存更久，被窃取的概率也会随之升高。

更安全的替代方案：

• 密码校验通过后，生成短期有效的身份令牌（比如JWT），把令牌存入Request，后续环节用令牌验证身份，完全不用保留明文密码。
• 如果后续流程必须用到密码（比如调用需要密码的内部服务），可以存储加密后的密码，或者直接传递第一次校验时的加密值，避免明文存储。
• 采用依赖注入的方式，只传递校验后的身份标识（比如用户ID、权限信息）给后续环节，严格缩小敏感数据的传播范围。

内容的提问来源于stack exchange，提问作者mka