我正在努力提高我们的代码安全性。我们使用名为 CheckMarx 的静态代码分析工具。该工具在公司是新工具，特别是我们是唯一使用 Objective C 在 iOS 上工作的团队。
我有一个参数类来连接到服务器，它包含服务器地址，端口，一些参数，登录名和密码密码不应该由用户记录，但。每次需要时，它都会作为令牌从另一个强身份验证服务中检索。它不应该保存为持久值（因为它每次都会改变），所以钥匙串看起来不能满足我的需求。对于演示项目，用户将在文本字段中点击它。该演示项目正在接受安全验证。
运行分析时，我遇到了一个 关于密码的“堆检查”漏洞： https://cwe.mitre.org/data/definitions/244.html 。理论上我理解这个问题，我应该清除存储密码的内存空间，但我不知道在目标 C 中如何实现这一点。
密码是一个 NSString，它是不可变的，所以如果我尝试覆盖 NSString，我只会创建一个新字符串并将旧字符串放在堆中的某个位置。（如果我在 dealloc 方法中覆盖它，我会收到另一个警告，说硬编码字符串对于密码来说是一个不好的做法）。将变量重命名为另一个虚拟变量名称，例如 MyDummyPropThatContainsData
1）ARC会清除指针，但我不认为它会清理堆。所以我相信这不是误报。我错了吗 ？
2）我尝试使用分配有 MAX_SIZE_PASSWORD 的 NSMutableString 。我使用 setString 方法来设置变量（在同一位置）。我通过使用恰好为 MAX_SIZE_PASSWORD 的虚拟值调用 setString 方法在 dealloc 方法中删除它。它删除了警告，这是一个好的做法吗？我非常确定这应该是另一个警告，指出硬编码字符串对于密码来说是一种不好的做法，但没有检测到它。我想坏习惯仍然存在......
3）我想过使用 char* 这样我以后就可以 memset 它，但这对我来说听起来很糟糕。我担心这可能是可靠性和维护问题。这可以解决我的问题吗？是否建议使用 ARC 来管理我自己在需要管理密码的地方分配 char * ？
我在 Objective C 中没有发现任何东西可以防止堆检查漏洞。在 Objective C 中是否有一些常见的方法可以防止这种情况发生？您知道从哪里开始一些好点吗？
任何帮助表示赞赏！