打开调试日志记录时,apache httpclient以明文形式记录密码

Question

启用调试日志记录时,Apache httpclient似乎以明文形式记录密码.

有没有办法禁用它？这样我就可以看到其余的调试日志而不是凭据？

Answer 1

在网络上发送密码之前，请在内存中创建密码的SHA1哈希。

MessageDigest md = MessageDigest.getInstance("SHA-1");
byte[] sha1hash = new byte[40];
md.update(text.getBytes("UTF-8"), 0, text.length()); // TODO verify the lengths are the same
sha1hash = md.digest();

http://www.mkyong.com/java/java-sha-hashing-example/

如果您绝对需要明文密码，则有以下几种选择：

1. 您可以禁用标头的日志记录或将其设置为高于调试的级别：禁用HttpClient日志记录

2. 您可以在发送密码之前动态禁用日志记录，然后再次将其重新打开：动态配置Apache Http客户端

3. 您可以实现自己的Logger处理程序/格式化程序，或者子类化基本的Logger处理程序/格式化程序，并在输出中搜索您的密码，然后将其替换为XXXXXXXXX。然后将处理程序设置为您的类：https : //hc.apache.org/httpcomponents-client-ga/logging.html