在C#命令行程序中处理用户登录或敏感配置时，密码绝不能明文显示在终端上。System.Console类自带一组底层输入控制方法，合理使用就能实现安全密码读取。核心思路是拦截每一个按键、用掩码代替真实字符、并正确处理退格与回车。
一、为什么不能直接用ReadLine
Console.ReadLine会把用户输入完整缓存到回车才返回，而且终端默认开启回显，每一个字符都会立刻显示。在开放工位或远程桌面录屏场景下，明文密码极易被泄露。更关键的是，ReadLine无法感知退格之外的编辑动作，难以做掩码控制。
从安全角度讲，密码还应尽量避开托管字符串，因为string在C#里不可变，会驻留于堆中直到GC，可能被内存扫描工具捕获。用char数组配合ReadKey能让我们在验证完后主动清空数组，降低残留风险。
二、基于Console.ReadKey的基础实现
Console.ReadKey(intercept: true)可以在按键时拦截系统回显，返回ConsoleKeyInfo结构，里面包含Key、KeyChar与修饰键状态。我们循环读取，遇到回车结束，遇到退格删前一个掩码，其他可打印字符存入数组并打印星号。
下面示例演示了最简安全读取函数，支持退格与掩码，并在结束时返回char数组供后续验证：
using System;
public static class ConsolePasswordReader
{
public static char[] ReadPassword(char mask = '*')
{
var buffer = new char[256];
int index = 0;
while (true)
{
var key = Console.ReadKey(intercept: true);
if (key.Key == ConsoleKey.Enter)
{
Console.WriteLine();
break;
}
if (key.Key == ConsoleKey.Backspace)
{
if (index > 0)
{
index--;
Console.Write("b b");
}
}
else if (index < buffer.Length)
{
buffer[index++] = key.KeyChar;
Console.Write(mask);
}
}
var password = new char[index];
Array.Copy(buffer, password, index);
Array.Clear(buffer, 0, buffer.Length);
return password;
}
}
该代码用固定大小缓冲避免频繁分配，退格时借助b b把光标左移、输出空格再左移，从而擦除终端上的星号。函数最后用Array.Clear清空原缓冲，仅返回精确长度的密码数组。
需要注意，mask参数默认是星号，在部分旧终端可能不支持，可传入其他字符或空字符做完全无显示。若key.KeyChar是控制字符（如Tab），上面逻辑会将其当普通字符写入，实际项目应加char.IsControl判断跳过。
三、处理输入重定向与异常
当程序标准输入被管道重定向（例如执行echo 123 | app.exe），Console.ReadKey会抛出InvalidOperationException，因为此时没有交互式键盘。生产代码必须先判断Console.IsInputRedirected。
下面改进版增加了重定向检测与长度限制提示，同时用SecureString思路给出可选封装：
using System;
public static class SafeConsole
{
public static string ReadPasswordLine()
{
if (Console.IsInputRedirected)
{
// 重定向时退化到普通读取，但提醒调用方风险
return Console.ReadLine() ?? string.Empty;
}
var pwd = ConsolePasswordReader.ReadPassword('*');
try
{
return new string(pwd);
}
finally
{
Array.Clear(pwd, 0, pwd.Length);
}
}
}
在重定向分支我们直接ReadLine并转成string，虽然失去掩码能力，但保证脚本调用不崩溃。调用方若处于高安全环境，应禁止重定向输入。
finally块里清空char数组非常关键，即便new string之后原数组仍留副本，主动Clear能缩短敏感数据在内存中的存活窗口。对于更高要求，可把密码立即送入哈希函数后抛弃明文。
四、进阶：结合SecureString
System.Security.SecureString提供加密存储且可被操作系统清零的字符串，虽在跨平台.NET中功能受限，但在Windows桌面仍值得使用。我们可以把ReadKey得到的字符逐个Append到SecureString。
using System;
using System.Security;
public static class SecureConsole
{
public static SecureString ReadSecurePassword()
{
var sec = new SecureString();
while (true)
{
var key = Console.ReadKey(intercept: true);
if (key.Key == ConsoleKey.Enter)
{
Console.WriteLine();
break;
}
if (key.Key == ConsoleKey.Backspace)
{
if (sec.Length > 0)
{
sec.RemoveAt(sec.Length - 1);
Console.Write("b b");
}
}
else if (!char.IsControl(key.KeyChar))
{
sec.AppendChar(key.KeyChar);
Console.Write('*');
}
}
sec.MakeReadOnly();
return sec;
}
}
SecureString在内部用DPAPI加密，且不会出现在GC的普通托管堆。上面的循环逻辑与前文类似，只是把字符写入sec而不是数组，退格调用RemoveAt同步删掩码。
要注意MakeReadOnly之后不能再改，验证密码时应通过Marshal.PtrToStringBSTR或P/Invoke转成临时指针处理，用毕立即ZeroFree。这种模式适合本地账户解锁等场景，不建议在Web后端使用。
五、常见误区与总结
有的开发者用Console.Read和Thread.Sleep轮询，这种方式不仅占用CPU，还无法正确处理组合键，远不如ReadKey事件驱动干净。还有人用Console.SetCursorPosition手动重绘整行，复杂度高且易闪烁。
综合来看，基于Console.ReadKey拦截加掩码是最简单可靠的方案。在交互程序中优先用char数组并及时清空，高安全需求再叠加SecureString。只要避开输入重定向异常、控制字符与缓冲溢出，就能在纯C#环境下安全读取控制台密码。
Consolepassword_maskingsecure_input修改时间：2026-08-03 10:42:15