Java中能否覆写（清零）String类型的密码？

首先直接给结论：从Java语言的合法规范层面来说，没有安全可靠的方法去修改一个已创建的String对象的内容。毕竟String的核心设计就是不可变的，这是Java语言的基础契约之一。

为什么不能修改String内容？ #

• String的内部存储（早期是char[]，Java 9及以后改为byte[]加编码标记）都是被private final修饰的，正常业务代码根本无法直接访问这些内部数组，更别说修改它们的内容。
• 虽然有人会想到用反射去强行突破封装，修改内部数组的值，但这种操作风险极大：
  • 它会彻底破坏String的不可变特性，比如字符串常量池里的共享String被修改后，会影响整个应用中所有引用该字符串的地方，引发各种难以排查的bug。
  • Java不同版本的String内部实现可能有变化，反射代码很容易在版本升级后失效。
  • 就算你用反射改了内容，也没法保证堆转储里不会留下痕迹——JVM可能在你修改前就已经生成了包含原密码的内存快照，或者其他地方已经留存了该String的副本引用。

正确的补救方案 #

既然已经不小心用了String存储密码，更稳妥的做法是：

• 尽快将String转为char[]，并清空原String引用：

  String tempPassword = "yourPassword";
  char[] passwordChars = tempPassword.toCharArray();
  
  // 这里用passwordChars完成认证、加密等操作
  
  // 使用后立刻清空char数组
  Arrays.fill(passwordChars, '\0');
  // 清空原String引用，帮助GC尽快回收
  tempPassword = null;
  

• 后续代码严格使用char[]处理密码：比如从UI组件获取密码时，用JPasswordField.getPassword()（返回char[]）而非getText()（返回String）；处理密码输入流时，直接读取到char数组中，避免转成String。
• 如果必须和某些要求传String的API交互，尽量缩短这个String的生命周期：用完立刻置为null，绝对不要把它存入缓存、日志或者持久化存储中。

总的来说，不要试图去修改String的内容，这是违背Java设计原则的危险操作。遵循安全规范，用char[]并及时清理才是解决密码泄露风险的正确路径。

内容的提问来源于stack exchange，提问作者MediumOne