inputstream.read(byte[])不保证填满数组，必须用返回值n控制write范围，否则会写入残留或初始化的0x00字节，导致文件体积膨胀、内容错乱；正确写法为out.write(buf, 0, n)。
因为 InputStream.read(byte[]) 不保证填满整个数组，而初学者常误以为“调用一次就写入一整块”，直接把整个缓冲区写进文件，结果把上一次残留的旧数据或默认填充的 0x00 也一并落盘。
这种错误在本地测试时可能侥幸不暴露——回环网络延迟极低，读取往往刚好凑满；但一到真实环境（局域网、跨设备、弱网），每次 read() 返回的字节数就变得不稳定，文件立刻出现体积膨胀、内容错乱、末尾堆垃圾字节等问题。
读取长度不判断，到底会发生什么
-
read(byte[] b)返回的是本次实际读到的字节数，范围是0到b.length，也可能为-1（流结束）； - 如果缓冲区大小是 8192，而这次只读到 305 字节，
read()返回305，但若你写output.write(b)，就会把全部 8192 字节都写出去； - 后面那 7887 字节，要么是前一次读留下的脏数据，要么是
new byte[8192]初始化的0x00； - 多次循环后，目标文件就变成“内容 + 一堆零 + 拼接错位的碎片”，打开失败、校验失败、解析崩溃。
正确写法必须紧扣返回值
- 每次
read()后，必须用它的返回值n控制写入范围； - 写操作只能是
output.write(buffer, 0, n)，不是output.write(buffer)； - 循环条件应基于累计读取量（如
totalRead ），而非依赖 <code>read()是否返回-1； - 必须检查
n == -1并做异常处理，避免死等或静默失败。
常见错误代码 vs 安全写法对比
-
❌ 错误示范（典型初学者写法）：
byte[] buf = new byte[8192]; while ((len = in.read(buf)) != -1) { out.write(buf); // 错！没用 len，写满了整个 buf } -
✅ 安全写法（必须带长度控制）：
byte[] buf = new byte[8192]; int n; while ((n = in.read(buf)) != -1) { out.write(buf, 0, n); // 对！只写 n 个有效字节 }
额外容易忽略的细节
- 缓冲区大小别盲目设太大：5MB～10MB 虽快，但在内存受限环境（如嵌入式、Docker 容器）可能直接 OOM；
- 不要用
Files.readAllBytes()处理未知大小文件：它会尝试一次性分配和文件等大的byte[]，超 2GB 就抛OutOfMemoryError，连堆空间是否够都不看； - 所有流操作务必
try-with-resources包裹，否则资源泄漏会让问题更难定位。
不复杂但容易忽略。
