CipherInputStream需等CipherOutputStream写完才可用的流式传输问题

你遇到的阻塞问题核心原因是块加密算法的缓冲区机制：

• 默认对称加密模式（如AES/CBC/PKCS5Padding）属于块加密，CipherOutputStream会将数据缓冲到满一个加密块（比如AES是16字节）才输出；最后一块数据会在流关闭时（try-with-resources自动执行close）才会加上填充并输出。
• Spring的StreamingResponseBody默认存在响应缓冲区，未及时将加密后的数据推送到客户端。

要实现流式加密传输，需从加密模式、输出流刷新、响应配置三个方面调整：

1. 使用流式加密模式 #

将加密算法改为流模式加密（如AES-CTR），这类模式无需凑齐块大小即可实时输出加密数据，无需填充。

修改服务端的initCipher()方法：

private Cipher initCipher(HttpServletResponse response) throws Exception {
    // 使用BouncyCastle的AES-CTR无填充模式
    Cipher cipher = Cipher.getInstance("AES/CTR/NoPadding", "BC");
    SecretKey secretKey = ...; // 你的密钥
    // CTR模式需要唯一IV，建议每次请求生成新IV并通过响应头传递给客户端
    byte[] ivBytes = new byte[16];
    new SecureRandom().nextBytes(ivBytes);
    IvParameterSpec ivSpec = new IvParameterSpec(ivBytes);
    cipher.init(Cipher.ENCRYPT_MODE, secretKey, ivSpec);
    
    // 将IV写入响应头，客户端需用此IV解密
    response.setHeader("X-Encryption-IV", Base64.getEncoder().encodeToString(ivBytes));
    return cipher;
}

客户端解密时，从响应头获取IV并初始化对应Cipher：

// 从响应头读取IV
String ivBase64 = closeableHttpResponse.getFirstHeader("X-Encryption-IV").getValue();
byte[] ivBytes = Base64.getDecoder().decode(ivBase64);
Cipher cipher = Cipher.getInstance("AES/CTR/NoPadding", "BC");
cipher.init(Cipher.DECRYPT_MODE, secretKey, new IvParameterSpec(ivBytes));

2. 显式刷新输出流 #

每次写入Protobuf数据后，强制刷新CipherOutputStream和底层响应缓冲区，确保数据及时推送：

for (int i = 1; i <= count; i++) {
    VehicleInfo vehicleInfo = VehicleInfo.newBuilder()
        .setId(123)
        .setHandle(123)
        .build();
    vehicleInfo.writeDelimitedTo(cipherOutputStream);
    // 刷新加密输出流，强制输出当前缓冲的加密数据
    cipherOutputStream.flush();
    // 刷新Spring响应缓冲区，将数据推送到客户端
    response.flushBuffer();
    logger.info("Encrypted vehicle--> {} {}", i, vehicleInfo);
}

3. 关闭Spring响应缓冲区（可选） #

如果Spring默认响应缓冲区仍导致延迟，可在服务端显式关闭缓冲区：

StreamingResponseBody responseBody =
    response -> {
        // 关闭响应缓冲区，实现实时输出
        response.setBufferSize(0);
        try (org.bouncycastle.jcajce.io.CipherOutputStream cipherOutputStream =
            new org.bouncycastle.jcajce.io.CipherOutputStream(response, initCipher(response))) {
            // ... 循环写入逻辑
        } 
    };

修改后，服务端每次写入并刷新后，客户端的CipherInputStream.read()即可实时读取加密数据，无需等待服务端循环结束。

内容的提问来源于stack exchange，提问作者mrajago17