Spring Securityがパスワードの文字配列パラメータを提供しないのはなぜですか？

Javaの機密データを処理するためのベストプラクティスは文字配列を使用することですが、Spring SecurityのほとんどのメソッドでStringまたはCharSequenceを使用するのはなぜですか？たとえば、EncryptorsのメソッドはCharSequenceを受け取ります。実際、これらのメソッドのソースコードを見ると、実際にはCharSequenceをStringに変換してしまいます。そのプロジェクトの人々は、私がこれまで以上に多くの経験を積んできたので、何か不足しているはずです。どの人が機密データをこれらのメソッドに渡すかについての洞察は誰にもありますか？Spring Securityがパスワードの文字配列パラメータを提供しないのはなぜですか？

出典

2017-07-22 baron1405

HttpServletRequestの文字列としてHTTP パラメータを返しますので、あなたは本当にサーブレットコンテナにパスワードの寿命を減らすために多くを行うことはできません。だから、Spring Securityは世界中のすべての手段を使ってパスワードの有効期間を短縮することができますが、文字列がすでに存在するため、は違いが生じません。

-Robウインチ（春のセキュリティ）迅速な返信用

Source

出典

2017-07-22 04:05:55

おかげでロブ。私はそれを恐れていた。言い換えれば、私は、過去の設計上の仮定が、セキュリティの意味にかかわらず、今生きなければならないデザインを決定するのではないかと心配していました。私は私が住んでいる世界を受け入れます。 – baron1405

Spring Securityがパスワードの文字配列パラメータを提供しないのはなぜですか？

答えて

関連する問題