TLS安卓即时通讯：ObjectInputStream初始化触发StreamCorruptedException异常

• 流读取位置偏移是核心诱因。Java序列化流的固定合法头部为4个字节：AC ED 00 05。日志中出现的两个非法头部完全符合流指针错位的特征：
  • 读取位置偏移2字节时，ACED7372本质是流指针跳过了标准头部的前2个字节，从原流的第3个位置开始读取4字节凑成的“流头”，读到的内容实际是后续序列化数据段的标记值（0x73对应TC_OBJECT标记、0x72对应TC_CLASSDESC标记）
  • 0005002A则是流的前2个字节被其他逻辑提前消费，导致ObjectInputStream初始化时凑出来的头部，前2个字节残留了原流版本号位置的0005，后2个字节是后续业务数据的随机字节
• 多线程抢占同一Socket流触发错位。日志显示客户端两个独立线程都执行了ObjectInputStream初始化逻辑，同一个SslSocket的输入流是单消费者队列，两个线程同时读取原始流字节时，会把本该凑齐的标准流头拆成两段，两个线程各自读取不完整的字节段，最终都会抛出流头非法的异常。
• 双向流初始化顺序颠倒加重问题。ObjectInputStream构造时会立刻从流中读取序列化头部，ObjectOutputStream构造时会立刻向流中写入序列化头部。如果客户端、服务端两边同时优先初始化ObjectInputStream，会导致流的握手数据被错位消费，进一步触发流头校验失败。

• 全局绑定单个Socket的流实例。一个SslSocket连接全程仅创建1个ObjectInputStream、1个ObjectOutputStream实例，将两个实例传递给所有需要收发数据的业务线程，严禁多线程单独调用sslSocket.getInputStream()获取原始流、单独新建ObjectInputStream。
• 严格遵守流初始化顺序。必须先完成ObjectOutputStream的实例化（完成序列化头部写入），再执行ObjectInputStream的实例化（完成序列化头部读取），杜绝双向同时先初始化输入流的写法，避免死锁和流错位。
• 禁止绕开包装层直接读原始流。排查所有涉及Socket流读取的代码，严禁在新建ObjectInputStream之前，直接对原始输入流执行read操作、用BufferedReader等其他包装类提前读流，避免流指针偏移。
• 跨端校验序列化一致性。确认AbstractPacket、MessagePacket、Message类的serialVersionUID在客户端、服务端两端完全一致，类结构无字段增减差异，避免序列化解析异常进一步放大流错位的问题。

内容的提问来源于stack exchange，提问作者Ellen W