堆检测A6敏感数据暴露

Question

我需要修复运行安全扫描后出现的堆检测漏洞。扫描生成的文档指向POJO属性＆＃34;私有字符串密码;＆＃34;。 此外，还提到了＃34;该应用程序不包含任何设置内容安全策略标头的代码。＆＃34; 任何人都可以帮我解决如何删除此堆检查漏洞

Answer 1

当敏感信息（在您的情况下为密码）以明文（未加密）的形式存储在内存中时，应用程序很容易受到堆检测。

如果攻击者会执行内存转储（请记住Heartbleed错误？），这些敏感信息将会受到影响。

有两种正确的方法来保存这些敏感信息：

• 使用安全对象，例如GuardedString而不是String或char数组，或
• 加密信息并立即清除包含明文
的内存

Checkmarx可能在您的代码中发现了漏洞，因此建议您使用其中一种方法安全地保存您的敏感信息。