如何清除ASP.NET MVC前端Chrome堆内存中的敏感密码数据

我开发了一个基于ASP.NET MVC的Web应用，前端使用JavaScript。登录时发现密码会被存储在Google Chrome的堆内存中，相关截图显示堆内存中存在明文密码痕迹。

我已尝试两种方案，但均无效：

• 在登录AJAX请求前编码密码，但无效；
• 在登录AJAX请求前清空密码输入框，但也无效。

请问如何清除堆内存中的密码？

1. 用TypedArray替代字符串存储密码 #

JavaScript字符串是不可变的，一旦创建就会在内存中留存副本，无法直接修改。改用Uint8Array这类TypedArray存储密码，可主动覆盖内存内容：

// 读取密码并转为字节数组
const passwordInput = document.getElementById('password');
const encoder = new TextEncoder();
const passwordBytes = encoder.encode(passwordInput.value);

// 发送登录请求
fetch('/Login', {
  method: 'POST',
  body: JSON.stringify({
    username: document.getElementById('username').value,
    password: Array.from(passwordBytes)
  }),
  headers: { 'Content-Type': 'application/json' }
})
.then(() => {
  // 请求完成后覆盖字节数组内容
  passwordBytes.fill(0);
  // 清空输入框
  passwordInput.value = '';
});

2. 避免直接引用密码字符串 #

不要将密码赋值给普通变量，直接从输入框读取后立即处理，减少字符串副本留存：

// 直接使用输入框值提交，不存为变量
fetch('/Login', {
  method: 'POST',
  body: new URLSearchParams({
    username: document.getElementById('username').value,
    password: document.getElementById('password').value
  })
})
.then(() => {
  // 先填充无关字符覆盖输入框内存，再清空
  passwordInput.value = Array(passwordInput.value.length).fill('x').join('');
  passwordInput.value = '';
});

3. 使用原生表单提交 #

原生表单提交无需前端JS处理密码，浏览器会在提交后自动清理输入框的内存痕迹：

<form action="/Login" method="post">
  <input type="text" name="username" />
  <input type="password" name="password" />
  <button type="submit">登录</button>
</form>

ASP.NET MVC后端直接通过Request.Form["password"]读取密码即可。

4. 优化内存回收 #

• 开发环境：打开Chrome DevTools的Memory面板，点击垃圾回收按钮（垃圾桶图标）手动触发回收
• 生产环境：确保密码相关变量无全局引用，让浏览器自动回收内存

核心原因 #

Chrome堆内存留存密码，本质是JavaScript字符串的不可变性导致的——修改或清空输入框后，原字符串仍会留在内存中直到垃圾回收。使用TypedArray可主动覆盖内存，减少密码字符串的引用能加速回收。

内容的提问来源于stack exchange，提问作者Ibrahim shaikh