Java向PostgreSQL传密码：如何用char[]替代String且满足哈希要求？

首先得指出你之前的一个关键错误：调用password.toString()完全达不到把char数组转成字符串的目的——它返回的是类似[C@1234abcd的对象标识字符串，根本不是密码内容，这不仅没用，还完全背离了你用char[]的初衷。

你的核心要求非常明确：密码哈希绝对不能存在于不可变对象中，那我们就围绕这个点来构建正确的流程：

核心思路 #

1. 原始密码用char[]存储，用完立即清零（避免String不可变导致内存残留）。
2. 哈希操作直接基于char[]转成的临时byte[]（指定编码），生成的哈希结果保持为byte[]，绝不转成String。
3. 数据库字段用二进制类型（比如PostgreSQL的bytea、MySQL的VARBINARY），直接用PreparedStatement.setBytes()传递哈希byte[]，全程不生成不可变的字符串对象。

完整示例代码 #

import java.security.MessageDigest;
import java.sql.Connection;
import java.sql.PreparedStatement;
import java.util.Arrays;
import java.nio.charset.StandardCharsets;
import java.nio.CharBuffer;
import java.nio.ByteBuffer;

public class PasswordStorageExample {
    public static void main(String[] args) {
        char[] rawPassword = {'a','b','c','d'};
        byte[] hashBytes = null;
        byte[] passwordBytes = null;

        try {
            // 1. 从char[]生成哈希byte[]（实际场景务必加盐！）
            MessageDigest md = MessageDigest.getInstance("SHA-256");
            
            // 可选：彻底避免生成String的转码方式
            ByteBuffer buffer = StandardCharsets.UTF_8.encode(CharBuffer.wrap(rawPassword));
            passwordBytes = buffer.array();
            
            md.update(passwordBytes);
            hashBytes = md.digest();

            // 2. 数据库操作
            Connection con = MyDBManager.connect();
            try (PreparedStatement stm = con.prepareStatement(
                    "INSERT INTO my_table(username, password_hash) VALUES(?, ?)"
            )) {
                stm.setString(1, "Jonny");
                // 直接传递哈希byte[]到二进制字段
                stm.setBytes(2, hashBytes);
                stm.executeUpdate();
            } finally {
                if (con != null) con.close();
            }
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            // 关键：清零所有敏感数组，避免内存残留
            Arrays.fill(rawPassword, '\0');
            if (passwordBytes != null) Arrays.fill(passwordBytes, (byte) 0);
            if (hashBytes != null) Arrays.fill(hashBytes, (byte) 0);
        }
    }
}

关键细节说明 #

• 为什么用byte[]存哈希？：哈希算法（比如SHA-256）的输出本质是二进制数据，直接存二进制字段比转成十六进制/Base64字符串更高效，也避免了生成不可变的String对象。你之前把字段改成bytea的思路是完全正确的，没有问题。
• 清零数组的必要性：char[]和byte[]都是可变的，用完后用Arrays.fill()清零，能确保敏感数据不会长时间留在内存中（String因为不可变，即使你不引用它，垃圾回收前也会一直存在）。
• 彻底避免String的转码方式：示例中提供了用Charset.encode()直接把char[]转成ByteBuffer的方式，全程不生成String，完全符合你的安全要求。

额外提醒 #

• 实际生产环境中，一定要给密码哈希加盐，盐可以随机生成，和哈希值一起存入数据库（盐本身不是敏感数据，存为字符串完全没问题）。
• 如果你的JDBC驱动支持，也可以用stm.setObject(2, hashBytes, java.sql.Types.BINARY)，效果和setBytes()一致，但setBytes()更直观。

内容的提问来源于stack exchange，提问作者klutt