Java TLS/SSL 16KB记录大小限制下读取超16KB multipart/formdata问题

• TLS协议确实规定单条TLS记录的明文最大长度为16384字节（16KB），超过16KB的上层数据会被协议栈自动拆分为多条独立的TLS记录发送，接收端也会自动重组这些记录，这个拆包/组包过程对上层应用完全透明，不存在所谓的「16KB传输限制」，上层可以传输任意大小的数据。
• 你抓包看到的16KB左右分段+ACK的传输行为就是TLS拆包后的正常表现，完全符合协议规范。

你读不到超过16KB数据的根本原因是读取逻辑依赖available()方法判断流结束，这个用法是完全错误的：
DataInputStream.available()的返回值仅代表当前已经完成解密、可以立即读取而不会发生阻塞的字节数，当你读完第一条16KB的TLS记录后，下一条TLS记录还在接收/解密过程中时，available()会暂时返回0，你的循环直接终止，就会出现只能读到16KB的现象。

另外你现有代码还存在单字节读取效率极低、ArrayList<Byte>存储字节带来大量装箱拆箱开销、容量判断逻辑不严谨的问题。

不要用available()判断流是否结束，优化后的读取函数如下：

/*
 * 从套接字读取全部数据到字节数组
 * @param s 输入流
 * @param MAX_REQ_SIZE 最大允许的请求大小（单位KB）
 * @return 读取到的字节数组，读取失败返回null
 */
public static byte[] read(DataInputStream s, int MAX_REQ_SIZE) {
    // 最大允许读取的字节数
    int maxBytes = MAX_REQ_SIZE * 1024;
    ByteArrayOutputStream baos = new ByteArrayOutputStream();
    byte[] buffer = new byte[4096]; // 4KB缓冲，可根据需要调整
    int bytesRead;
    try {
        // read方法会阻塞直到读到数据或者流关闭，返回-1代表对端关闭了输出流
        while ((bytesRead = s.read(buffer)) != -1) {
            baos.write(buffer, 0, bytesRead);
            // 超过最大大小直接终止，避免恶意请求占内存
            if (baos.size() > maxBytes) {
                log.e(null, Network.class.getName(), "read", "请求超过最大大小限制");
                return null;
            }
        }
        byte[] result = baos.toByteArray();
        log.i(result.length + " bytes as request");
        return result;
    } catch (IOException e) {
        log.e(e, Network.class.getName(), "read");
        return null;
    } finally {
        try {
            baos.close();
        } catch (IOException e) {
            // 忽略关闭异常
        }
    }
}

如果你是处理HTTP请求，更可靠的方式是先解析HTTP请求头，拿到Content-Length字段的值之后，按指定长度读取对应字节数，避免因为长连接没有关闭流导致read方法长时间阻塞。

额外优化建议 #

你当前SSLContext初始化使用的是SSLv3，这个协议版本已经被废弃多年，存在严重的安全漏洞，建议替换为TLSv1.2或TLSv1.3：

var sslContext = SSLContext.getInstance("TLSv1.3");

如果需要处理multipart/form-data请求，不需要自己手动解析二进制内容，可以直接使用成熟的HTTP服务器组件的解析能力，避免自己处理边界、编码等兼容性问题。

内容的提问来源于stack exchange，提问作者مراد على