从CipherInputStream读取对象时遇无效流头错误？疑似Cipher对象复用导致

我来帮你拆解这个问题——你碰到的java.io.StreamCorruptedException: invalid stream header: 73720019错误，确实大概率是Cipher对象复用导致的，咱们一步步说清楚：

先看懂错误码 #

你看到的73720019是十六进制值，转成ASCII的话，前两位73 72对应sr——这其实是Java序列化对象里类描述的开头标记！而正常的Java序列化流开头应该是魔术头AC ED 00 05。出现这个错误，说明解密后的数据流直接跳到了序列化对象的类描述部分，丢失了最开头的魔术头，反序列化时自然认不出这是合法的序列化流。

问题根源：复用Cipher对象的状态污染 #

Cipher对象是有状态的，它会保留加密/解密过程中的上下文信息（比如块加密模式的IV、缓存的未处理数据块）。如果你复用同一个Cipher实例去创建新的CipherInputStream，之前操作残留的状态会干扰本次解密：

• 比如上次解密后还有未处理的缓存数据，这次解密会先输出这些残留数据，导致真正的序列化流开头被截断；
• 或者CBC模式下，IV的状态没有重置，导致解密出的数据流整体偏移，魔术头直接变成了后续的sr标记。

解决方法：每次解密都重新初始化Cipher #

最稳妥的做法是每次创建CipherInputStream前，都重新初始化一个干净的Cipher对象，而不是复用旧实例。你提到的新版代码应该就是做了这个调整，下面给个标准的示例参考：

正确的加密写入代码 #

public void writeEncryptedObject(File targetFile, Object data, SecretKey secretKey, IvParameterSpec iv) 
        throws IOException, NoSuchAlgorithmException, NoSuchPaddingException, 
               InvalidKeyException, InvalidAlgorithmParameterException {
    
    // 每次写入都创建新的Cipher实例并初始化
    Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
    cipher.init(Cipher.ENCRYPT_MODE, secretKey, iv);
    
    // 用try-with-resources自动管理流的关闭顺序
    try (FileOutputStream fos = new FileOutputStream(targetFile);
         CipherOutputStream cos = new CipherOutputStream(fos, cipher);
         ObjectOutputStream oos = new ObjectOutputStream(cos)) {
        oos.writeObject(data);
    }
}

正确的解密读取代码 #

public Object readEncryptedObject(File sourceFile, SecretKey secretKey, IvParameterSpec iv) 
        throws IOException, ClassNotFoundException, NoSuchAlgorithmException, 
               NoSuchPaddingException, InvalidKeyException, InvalidAlgorithmParameterException {
    
    // 关键：每次读取都重新创建并初始化Cipher，避免状态污染
    Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
    cipher.init(Cipher.DECRYPT_MODE, secretKey, iv);
    
    try (FileInputStream fis = new FileInputStream(sourceFile);
         CipherInputStream cis = new CipherInputStream(fis, cipher);
         ObjectInputStream ois = new ObjectInputStream(cis)) {
        return ois.readObject();
    }
}

额外注意事项 #

• 加密和解密必须使用完全一致的算法、模式和填充方式（比如示例中的AES/CBC/PKCS5Padding），否则解密出的数据流必然混乱；
• 如果用CBC等需要IV的模式，加密时的IV必须和解密时完全一致（建议每次加密生成随机IV，然后把IV和密文一起存储，解密时先读取IV再初始化Cipher）；
• 尽量用try-with-resources管理流，避免手动关闭顺序错误导致的流残留问题。

内容的提问来源于stack exchange，提问作者Mel