如何防止C# .NET HTTP请求后内存中出现明文敏感信息？

以下是几种有效避免内存转储出现明文敏感数据的方案：

1. 用char数组存储敏感数据并及时覆盖 #

.NET中string是不可变类型，一旦创建就无法修改，会在内存中留存直到GC回收。改用char[]存储密码这类敏感信息，使用后立即覆盖数组内容，能彻底清除内存中的明文。

修改后的代码示例：

class Program
{
    static readonly HttpClient client = new HttpClient();

    static async Task Main()
    {
        char[] password = "alex".ToCharArray();
        try
        {
            // 手动构建表单内容，避免持久化敏感数据引用
            var contentBuilder = new StringBuilder();
            contentBuilder.Append($"email={Uri.EscapeDataString("alex@bishan.me")}&password={Uri.EscapeDataString(new string(password))}");
            var content = new StringContent(contentBuilder.ToString(), Encoding.UTF8, "application/x-www-form-urlencoded");

            // 立即覆盖敏感数据
            Array.Fill(password, '\0');
            contentBuilder.Clear();

            await using var response = await client.PostAsync("https://fake-api-jwt-json-server.tvbishan.repl.co/auth/login", content);
            // 按需处理响应，处理完成后及时清空相关变量
        }
        catch (HttpRequestException e)
        {
            Console.WriteLine("\nException Caught!");
            Console.WriteLine("Message :{0} ", e.Message);
        }
        finally
        {
            // 确保敏感数据被彻底覆盖
            if (password != null)
                Array.Fill(password, '\0');
        }
    }
}

2. 及时释放HttpResponseMessage资源 #

使用await using（或using）语句包裹HttpResponseMessage，确保请求完成后立即释放对象，让GC能更快回收相关内存，减少敏感数据留存时间。

关键代码修改：

await using var response = await client.PostAsync("your-api-url", content);
// 读取响应内容后，立即清空内容变量
var responseContent = await response.Content.ReadAsStringAsync();
// 处理内容逻辑
responseContent = string.Empty;

3. 避免直接使用FormUrlEncodedContent存储敏感数据 #

FormUrlEncodedContent会内部保留传入的键值对引用，导致敏感字符串在内存中留存。直接构建表单字符串，使用后立即清空构建器和敏感数据，能避免这类问题。

4. 内存加密保护敏感数据（Windows平台） #

使用ProtectedData类在内存中加密敏感数据，仅在需要使用时解密，用完后立即清除解密后的内容：

using System.Security.Cryptography;

// 加密敏感数据
byte[] passwordBytes = Encoding.UTF8.GetBytes("alex");
byte[] encryptedPassword = ProtectedData.Protect(passwordBytes, null, DataProtectionScope.CurrentUser);

// 使用时解密
byte[] decryptedPassword = ProtectedData.Unprotect(encryptedPassword, null, DataProtectionScope.CurrentUser);
char[] passwordChars = Encoding.UTF8.GetChars(decryptedPassword);
// 用完后覆盖解密后的内容
Array.Fill(passwordChars, '\0');
Array.Clear(decryptedPassword, 0, decryptedPassword.Length);

5. 主动触发GC回收（谨慎使用） #

在敏感数据处理完成后，主动触发GC回收并等待终结器执行，加速敏感对象的内存释放。注意这会影响应用性能，仅在必要场景使用：

// 清空敏感数据后执行
GC.Collect();
GC.WaitForPendingFinalizers();
GC.Collect();

内容的提问来源于stack exchange，提问作者Bishan Vithanage