上传、下载与流式处理：字节怎样穿过内存、磁盘和网络
一个 2 GB 上传接口在测试环境一直正常，生产并发五次就把实例拖死。代码只有三行：读取 MultipartFile、转成 byte[]、调用 SDK。真正的成本却至少复制四遍：容器缓冲、应用数组、SDK 请求体和网络缓冲；客户端断开后，后台上传还可能继续占用连接。判断接口是否“流式”，不能看方法签名里有没有 InputStream，而要画出每一段谁在读、谁在缓存、谁施加背压、失败后谁清理。
Jakarta Servlet 通过 @MultipartConfig 与 Part 暴露 multipart/form-data，fileSizeThreshold 决定容器何时把 part 从内存转向磁盘；HTTP 语义则用 Content-Length、Range、条件请求和响应头约束传输。容器能解析字节，不等于业务已经验证、提交或拥有文件。
从请求入口画出真实字节路径
请求到达后，连接层解析 headers，multipart 解析器识别 boundary，并按阈值把 Part 放在内存或临时目录。应用从 Part.getInputStream 顺序读取，以固定缓冲写入隔离对象，同时累计真实字节数与 checksum。只有大小、摘要、内容检查和业务授权都通过，隔离对象才原子转为可见版本并写业务引用。下载反向读取对象流，先完成权限和条件请求判断，再写响应；不能在鉴权前打开大对象，更不能为设置 Content-Length 把全量读入内存。
关键提交窗口怎样形成
缓冲区过小会放大系统调用，过大则让每个并发请求占用更多堆；合理值来自网络吞吐、存储分片、并发上限和 GC 基线。阻塞 Servlet 中，读慢客户端与写慢存储都会长期占住请求线程；异步并不会自动产生背压，若回调不断把 byte[] 塞进无界队列，只是把线程饥饿换成堆溢出。传输必须有总大小、单位时间吞吐、空闲时间、总 deadline 和租户并发限额，并在任一越界时同时取消上游读取与下游写入。
六个状态节点逐段落地
解析请求边界
进入“解析请求边界”时记录 fileId/uploadId、objectVersion、实际字节、checksum、owner、状态版本与 deadline。正向实验断言字节、状态和业务引用守恒；反向实验在流关闭、对象提交或状态回写前后制造断连与超时，确认临时资源有归宿、UNKNOWN 能对账、迟到写不能覆盖新版本。
限制实际字节
进入“限制实际字节”时记录 fileId/uploadId、objectVersion、实际字节、checksum、owner、状态版本与 deadline。正向实验断言字节、状态和业务引用守恒；反向实验在流关闭、对象提交或状态回写前后制造断连与超时，确认临时资源有归宿、UNKNOWN 能对账、迟到写不能覆盖新版本。
写入隔离对象
进入“写入隔离对象”时记录 fileId/uploadId、objectVersion、实际字节、checksum、owner、状态版本与 deadline。正向实验断言字节、状态和业务引用守恒；反向实验在流关闭、对象提交或状态回写前后制造断连与超时，确认临时资源有归宿、UNKNOWN 能对账、迟到写不能覆盖新版本。
校验摘要内容
进入“校验摘要内容”时记录 fileId/uploadId、objectVersion、实际字节、checksum、owner、状态版本与 deadline。正向实验断言字节、状态和业务引用守恒；反向实验在流关闭、对象提交或状态回写前后制造断连与超时，确认临时资源有归宿、UNKNOWN 能对账、迟到写不能覆盖新版本。
提交可见版本
进入“提交可见版本”时记录 fileId/uploadId、objectVersion、实际字节、checksum、owner、状态版本与 deadline。正向实验断言字节、状态和业务引用守恒；反向实验在流关闭、对象提交或状态回写前后制造断连与超时，确认临时资源有归宿、UNKNOWN 能对账、迟到写不能覆盖新版本。
按 Range 下载
进入“按 Range 下载”时记录 fileId/uploadId、objectVersion、实际字节、checksum、owner、状态版本与 deadline。正向实验断言字节、状态和业务引用守恒；反向实验在流关闭、对象提交或状态回写前后制造断连与超时，确认临时资源有归宿、UNKNOWN 能对账、迟到写不能覆盖新版本。
文件不是一个字段，而是一条跨资源事务
流式只成立在所有缓冲都有上限时
完整性、安全性和业务有效性是三条证据
下载也是受控数据流
观测与对账要覆盖数据库和对象存储两边
发布和回滚必须保持对象格式与状态兼容
反向实验要击中资源与状态的交界
Range 下载最常见的错误是返回 206 却仍发送整个对象，或 Content-Range 与实际字节不一致，客户端重试后得到重复内容。上传端只信任 Content-Length 会被 chunked 传输绕过，必须在实际读取过程中累计并硬停止。响应已经提交后发生读取错误，状态码可能无法改写，只能终止连接并记录 objectVersion、range 与已写字节；若把异常包装成一段 JSON 继续写，下载文件会被悄悄污染。 实验固定文件字节、并发、缓冲、存储版本和故障点，保存容器临时目录、对象元数据、数据库状态与连接水位。修复后复用相同样本，既证明错误被拒绝或恢复，也证明堆、临时盘、parts 和连接回到稳定基线。
两个 Java 17 模型固定量化见证
模型执行真实计算和断言，把框架日志容易掩盖的流量或状态不变量压缩成确定输出。
javac --release 17 -Xlint:all -Werror examples/backend-development/file-storage/upload-download-stream/StreamBufferDemo.java examples/backend-development/file-storage/upload-download-stream/RangeResponseDemo.java
java -cp examples/backend-development/file-storage/upload-download-stream StreamBufferDemo
java -cp examples/backend-development/file-storage/upload-download-stream RangeResponseDemobytes=10485760 buffer=65536 reads=160 peakBufferBytes=65536 wholeFileBuffered=false checksumStable=true
objectBytes=1000 range=200-499 status=206 sentBytes=300 contentRange=bytes_200-499/1000 valid=true工程验证再替换成真实 Servlet、对象存储、解析器与数据库，保留相同 fileId/uploadId、状态迁移和输出不变量；模型字符串不能替代实际断连、覆盖、扫描和清理实验。
架构选择由数据流和授权新鲜度决定
小头像可由应用接收并同步扫描；大对象优先让客户端直传隔离前缀，应用签发受限能力并在回调后验证；需要内容变换时用有界流式管道；需要随机读取与断点下载时保留稳定 objectVersion、长度和强校验。是否绕过应用服务器取决于权限、内容检查、网络成本和审计，不取决于“云存储更快”这一句口号。
发布门禁要证明生命周期闭环
发布时必须守住“文件大小不乘并发进入堆，任何可见版本都经过完整校验且下载区间与响应语义一致”。验收同时覆盖正常、慢、断连、重复、结果未知、权限撤销和清理恢复；核对接收字节、最终对象、业务引用、临时对象和删除结果。任何临时放宽都绑定 owner、影响前缀、补偿扫描和到期条件，过期自动阻断。