Java String不可变性不保障密码安全，反而因内存残留增加风险；应改用可擦除的char[]并立即清零，配合哈希加盐存储。
Java String 的不可变性本身不直接“保障”密码安全，反而在密码处理中构成风险；但它通过暴露问题、倒逼规范实践，间接提升了安全性。
不可变性让密码更难被及时清除
String 一旦创建，其内部字符数组（JDK 9+ 为 byte[] + 编码标识）就驻留在堆内存中，直到垃圾回收。由于字符串常量池和对象复用机制，敏感字符串可能长期存活——攻击者若获取内存转储，极易提取明文密码。
- String 对象不能被主动清空或覆写，replace()、substring() 等操作只会生成新对象，原密码仍留在内存
- 即使调用 System.gc()，也无法保证立即回收，且 JVM 不承诺回收字符串池中的对象
它推动开发者转向更安全的替代方案
正是由于 String 的不可变缺陷，Java 官方明确推荐使用 char[] 处理密码：
javascript-typescript-typescript-scaffold
下载
你是 TypeScript 项目架构专家，专注于脚手架搭建生产就绪的 Node.js 和前端应用。生成包含现代工具链（pnpm、Vite、Next.js）、类型
- JPasswordField.getPassword() 返回 char[]，而弃用返回 String 的 getText()
- 使用后可立即调用 Arrays.fill(passwordArray, '\0') 显式擦除内存内容
- char[] 不会自动入字符串常量池，避免意外共享与残留
- 打印 char[] 时输出的是地址（如
[C@1b6d3586），不会意外泄露明文
配合 JVM 机制降低残留风险
虽然 String 不能擦除，但现代 JVM 提供了一定缓解：
立即学习“Java免费学习笔记（深入）”；
- 自 JDK 7 起，字符串常量池已移至堆内存，受 GC 统一管理，不再永久驻留
- JVM 可对未被强引用的字符串执行回收，尤其在 Full GC 时
- 但该过程不可控——不能依赖它来保护密码，只能作为辅助手段
实际开发中的关键动作
真正保障密码安全，靠的不是 String 的不可变，而是主动规避它：
- 接收密码时，优先用 char[] 接收（如从控制台、JPasswordField、API 响应体解析后立即转为 char[]）
- 校验完成后，**立刻清零** char[]，再置 null（双重保险）
- 避免将密码拼接到日志、异常信息或调试字符串中（例如不要写
"Invalid password: " + pwd） - 持久化存储密码必须哈希加盐（如 PBKDF2、Argon2），永远不存明文——String 或 char[] 都只是临时内存载体
