C#客户端正确读取Web API流输出的通用实现方法

现有实现的问题 #

• 服务端：当前接口通过File.ReadAllBytes把整个文件一次性读入内存再转成MemoryStream返回，大文件场景下会导致服务器内存占用飙升，完全没有发挥流传输低内存占用的优势。
• 客户端：使用StreamReader.ReadToEnd()会把响应内容按文本编码全量转成字符串，读取图片、压缩包、可执行程序这类二进制文件时会出现内容损坏，同样存在大文件内存占用过高的问题。

服务端优化方案 #

先修正服务端实现，避免全量加载文件到内存，同时补上必要的安全校验：

[HttpGet]
[Route("stream/{filePath}")]
public IActionResult ReadStreamFromFile(string filePath)
{
    // 必须增加路径合法性校验，防止路径遍历攻击读取服务器敏感文件
    // 示例：校验文件是否在你允许的对外文件目录下，此处根据你的业务需求调整
    var allowedRootPath = Path.GetFullPath("你配置的允许对外访问的文件根目录");
    var fullFilePath = Path.GetFullPath(Path.Combine(allowedRootPath, filePath));
    if (!fullFilePath.StartsWith(allowedRootPath) || !File.Exists(fullFilePath))
    {
        return NotFound();
    }

    // 直接打开文件流，不需要全量读入内存，框架会自动完成分段传输
    var fileStream = File.OpenRead(fullFilePath);
    // 根据实际文件类型设置正确的ContentType，二进制文件默认用application/octet-stream即可
    return File(fileStream, "application/octet-stream", Path.GetFileName(fullFilePath));
}

注意：如果是ASP.NET 4.x的Web API，不是ASP.NET Core的话，可以把返回类型改成HttpResponseMessage，通过响应对象的Content设置流内容即可，核心逻辑是不要提前把全量文件读入内存。

客户端通用实现 #

基于HttpWebRequest的兼容写法 #

如果你需要兼容老版本框架不能替换HTTP客户端，直接操作原始响应流即可，不要用StreamReader做文本编码转换：

using (HttpWebResponse webresponse = request.GetResponse() as HttpWebResponse)
{
    if (webresponse.StatusCode != HttpStatusCode.OK)
    {
        // 按需处理请求异常场景
        throw new Exception($"请求失败，状态码：{webresponse.StatusCode}");
    }
    // 直接获取原始响应流，不要用StreamReader包装
    using (var responseStream = webresponse.GetResponseStream())
    {
        // 场景1：直接保存到本地文件（最常用，大文件内存占用极低）
        using (var localFileStream = File.Create("本地文件保存的目标路径"))
        {
            // 按默认缓冲区分段拷贝流，不会一次性加载全量内容到内存
            responseStream.CopyTo(localFileStream);
        }

        // 场景2：确实需要把内容读到内存处理（大文件不推荐）
        // using (var memoryStream = new MemoryStream())
        // {
        //     responseStream.CopyTo(memoryStream);
        //     byte[] fileContent = memoryStream.ToArray();
        //     // 后续直接操作字节数组即可，不会出现编码损坏问题
        // }
    }
}

基于HttpClient的推荐写法 #

如果项目用.NET Framework 4.5+、.NET Core/.NET 5+，优先用官方推荐的HttpClient实现，性能更好，异步支持更完善：

// 注意：HttpClient建议全局单例复用，不要每次请求都new一个，避免端口耗尽问题
private static readonly HttpClient _httpClient = new HttpClient();

public async Task DownloadStreamAsync(string apiUrl, string saveLocalPath)
{
    // 设置ResponseHeadersRead参数，拿到响应头就开始读流，不会等全量内容加载完才返回
    using (var response = await _httpClient.GetAsync(apiUrl, HttpCompletionOption.ResponseHeadersRead))
    {
        response.EnsureSuccessStatusCode();
        using (var responseStream = await response.Content.ReadAsStreamAsync())
        using (var localFileStream = File.Create(saveLocalPath))
        {
            // 异步拷贝流，IO等待期间不占用工作线程
            await responseStream.CopyToAsync(localFileStream);
        }
    }
}

核心注意事项 #

• 禁止用文本读取器处理二进制流：StreamReader、ReadAsStringAsync这类文本读取方法会按照编码规则转换字节，二进制文件经过转换会出现不可逆损坏，除非你明确接口返回的是纯文本内容，否则都要直接操作原始字节流。
• 避免全量加载内容到内存：不管是服务端还是客户端，都用流的分段拷贝逻辑处理，内存占用仅和缓冲区大小相关（默认80KB左右），哪怕是几GB的大文件也不会导致内存溢出。
• 正确释放资源：所有流、HTTP响应对象都要用using语句包裹，确保非托管资源被及时回收，避免句柄泄漏。
• 服务端必须做安全校验：直接接收用户传入的文件路径作为读取参数风险极高，一定要严格限制可访问的目录范围，防止攻击者通过../等路径遍历字符读取服务器的配置文件、敏感数据。

内容的提问来源于stack exchange，提问作者Amar Ta