Android：不写入磁盘解密并加载AES加密PDF

这个需求太典型了——既要处理加密PDF，又不想明文落地碰磁盘，完全是安全合规场景下的标准操作！我来给你捋清楚实现的核心逻辑，再给几个常用语言的代码示例：

本质就是把整个流程的所有数据都留在内存里流转，全程不涉及磁盘IO：

1. 从API拉取加密PDF的字节内容（不是先存到本地文件再读）和对应的AES密钥/IV；
2. 用AES算法在内存中解密字节内容，得到明文PDF的字节流；
3. 把明文字节流直接传给PDF渲染库，让库从内存加载而不是从磁盘文件加载。

Python 版本（用PyMuPDF + PyCryptodome） #

PyMuPDF是性能很强的PDF处理库，完全支持内存加载；PyCryptodome用来做AES解密：

import io
import requests
from Crypto.Cipher import AES
import fitz  # PyMuPDF

def decrypt_and_render_pdf(encrypted_url, aes_key, iv):
    # 1. 直接从API拉取加密PDF到内存字节
    resp = requests.get(encrypted_url)
    resp.raise_for_status()
    encrypted_bytes = resp.content

    # 2. AES解密（以CBC模式为例，根据加密时的实际模式调整）
    cipher = AES.new(aes_key, AES.MODE_CBC, iv)
    decrypted_bytes = cipher.decrypt(encrypted_bytes)
    # 移除PKCS7填充（如果加密时用了的话）
    padding_length = decrypted_bytes[-1]
    decrypted_bytes = decrypted_bytes[:-padding_length]

    # 3. 内存加载PDF并渲染
    with fitz.open("pdf", decrypted_bytes) as doc:
        # 示例：打印第一页文本，实际替换为你的渲染逻辑（比如转图片、显示UI等）
        first_page = doc[0]
        print(first_page.get_text())

# 调用示例（替换为你的实际API返回值）
if __name__ == "__main__":
    ENCRYPTED_URL = "https://your-api.com/encrypted.pdf"
    AES_KEY = b"your-32-byte-secret-key-here"  # 256位密钥，长度32字节
    IV = b"your-16-byte-iv-here"  # IV必须和加密时一致
    decrypt_and_render_pdf(ENCRYPTED_URL, AES_KEY, IV)

Java 版本（用Apache PDFBox + JCE） #

Apache PDFBox是Java生态常用的PDF库，同样支持从InputStream加载：

import javax.crypto.Cipher;
import javax.crypto.spec.IvParameterSpec;
import javax.crypto.spec.SecretKeySpec;
import java.io.ByteArrayInputStream;
import java.io.IOException;
import java.net.HttpURLConnection;
import java.net.URL;
import org.apache.pdfbox.pdmodel.PDDocument;
import org.apache.pdfbox.text.PDFTextStripper;

public class InMemoryPDFHandler {
    public static void main(String[] args) throws Exception {
        // 1. 从API获取加密PDF字节
        URL url = new URL("https://your-api.com/encrypted.pdf");
        HttpURLConnection conn = (HttpURLConnection) url.openConnection();
        conn.setRequestMethod("GET");
        byte[] encryptedBytes = conn.getInputStream().readAllBytes();
        conn.disconnect();

        // 2. AES解密
        byte[] aesKey = "your-32-byte-secret-key-here".getBytes();
        byte[] iv = "your-16-byte-iv-here".getBytes();
        
        Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
        SecretKeySpec keySpec = new SecretKeySpec(aesKey, "AES");
        IvParameterSpec ivSpec = new IvParameterSpec(iv);
        cipher.init(Cipher.DECRYPT_MODE, keySpec, ivSpec);
        byte[] decryptedBytes = cipher.doFinal(encryptedBytes);

        // 3. 内存加载并渲染
        try (ByteArrayInputStream bais = new ByteArrayInputStream(decryptedBytes);
             PDDocument doc = PDDocument.load(bais)) {
            // 示例：提取第一页文本，替换为你的渲染逻辑
            PDFTextStripper stripper = new PDFTextStripper();
            stripper.setStartPage(1);
            stripper.setEndPage(1);
            System.out.println(stripper.getText(doc));
        }
    }
}

• AES参数必须完全匹配：加密时用的模式（CBC/GCM/ECB）、密钥长度（128/192/256位）、填充方式（PKCS7/PKCS5/NoPadding）、IV（初始化向量）都要和解密时一致，否则会解密失败或者得到乱码。如果是GCM模式，还要处理认证标签，解密时需要传入标签值。
• 选对PDF库：一定要确认你用的PDF渲染库支持从内存字节流/输入流加载，比如PyMuPDF、PyPDF2、Apache PDFBox、iText这些主流库都没问题，避免选那种只能从磁盘文件加载的小众库。
• 内存占用问题：如果处理超大PDF（比如几百MB），直接把整个文件加载到内存可能会导致OOM。这种情况下可以考虑分块解密+分块加载，但实现起来更复杂，大部分中小PDF场景直接用上面的方法就足够了。
• 密钥安全：绝对不要把AES密钥硬编码到代码里，要通过API安全返回、环境变量、密钥管理服务（KMS）等方式获取，避免密钥泄露。

内容的提问来源于stack exchange，提问作者Md Tarik Mahmud