Android能否直接将解密CipherOutputStream流传给PDF渲染器展示PDF

核心结论 #

• 无法直接将CipherOutputStream传给PdfRenderer完成渲染
  原生Android的PdfRenderer构造函数仅接受ParcelFileDescriptor类型参数，且PDF渲染逻辑本身依赖随机访问能力——不管是读取PDF文件头的交叉引用表，还是跳转到指定位置渲染不同页面，都需要能直接定位到文件任意偏移位置读取数据。而CipherOutputStream是顺序写入的输出流，既不符合参数类型要求，也无法支持随机读的访问模式，这条路走不通。
• 不需要强制使用落盘缓存文件，更完全没必要自研PDF渲染器
  PDF渲染逻辑复杂度极高，需要兼容二十多年迭代的各版本PDF规范、处理嵌入字体、矢量图形、压缩算法、异常格式兼容等海量细节，自研的投入和bug率完全不可控，没有任何必要。
• 你当前实现的普通落盘缓存方案存在明确安全风险
  直接将解密后的明文PDF写入context.cacheDir下的普通文件，有几个明确的泄露点：
  • Root后的设备上，任意进程都可以读取应用私有缓存目录下的文件，明文内容直接暴露
  • 如果应用发生崩溃、被系统强制杀死，会跳过你写的缓存删除逻辑，明文PDF会长期残留在设备存储中
  • 部分定制安卓系统对应用私有目录的权限管控存在漏洞，可能出现非授权应用越权读取的情况
    额外提一句：你当前代码里用的AES/ECB/PKCS5Padding加密模式本身安全性很差，相同明文块会生成完全相同的密文块，很容易被统计分析破解，建议替换为AES/GCM/NoPadding这类带身份认证的安全加密模式。

无落盘风险的实现方案 #

方案1：内存文件描述符对接原生PdfRenderer（适配中小体积PDF） #

这个方案实现最简单，全程解密后的明文只存在于内存，不会写入物理存储，没有落盘泄露风险：

1. 用CipherInputStream读取加密的源PDF文件，将解密后的明文内容读入内存字节数组（注意如果是单文件超过100M的大PDF，要提前评估应用内存占用，避免触发OOM）
2. 创建Android原生提供的MemoryFile（基于匿名共享内存实现，默认仅当前应用可访问，数据不会写入物理磁盘），把解密后的字节数组写入MemoryFile
3. 从MemoryFile获取对应的ParcelFileDescriptor实例，直接传入PdfRenderer构造函数即可正常完成渲染
4. 用户关闭文档后，及时关闭PdfRenderer、ParcelFileDescriptor、MemoryFile相关资源，内存会被系统直接回收，没有明文残留。

方案2：自定义随机访问解密层（适配大体积PDF） #

如果需要加载几百M以上的超大PDF，不想全量把文件读入内存，可以自己实现支持随机读的解密层：

1. 封装自定义的ParcelFileDescriptor逻辑，对接你的AES解密能力，支持传入文件偏移量，读取对应位置的密文块、解密后返回明文内容
2. 如果替换为GCM这类带认证的加密模式，需要提前做好文件块偏移和加密IV、认证标签的映射关系，保证随机跳读时解密结果正确
3. 把封装好的ParcelFileDescriptor传给PdfRenderer即可，全程不会把完整明文写入磁盘，内存占用也可控。

方案3：对接支持流加载的成熟PDF渲染库 #

如果不想自己处理文件描述符、随机访问解密的适配逻辑，可以选用支持直接从InputStream加载PDF的成熟渲染库，直接把CipherInputStream解密得到的明文流传入库的加载接口即可，不需要生成落盘缓存文件，也不需要自己实现底层渲染逻辑。

内容的提问来源于stack exchange，提问作者Trax Bagley