应于读取文件流时同步计算哈希与大小，使用DigestInputStream结合CountingInputStream一次性完成，避免重复读取；推荐SHA-256、结构化日志记录，并注意大文件分块处理及异步性能权衡。
在文件上传时记录哈希值和文件大小，关键是在读取文件内容（或流）的过程中计算摘要，并在保存前将元数据写入日志。Java 中推荐使用 SLF4J + Logback（或 Log4j2），配合 MessageDigest 或 Apache Commons Codec 计算哈希，同时避免重复读取文件流。
获取文件输入流后同步计算哈希与大小
不要先保存文件再读取计算——这会降低性能且可能出错。应在接收 MultipartFile（Spring）或 ServletFileUpload（原生 Servlet）时，从原始输入流一次性完成：读取、计算 SHA-256（或 MD5）、统计字节数。
- 用
DigestInputStream包装原始流，边读边更新摘要，同时用CountingInputStream（Apache Commons IO）或手动计数获取大小 - 确保流只被消费一次；若后续还需保存文件，可将流内容缓存到
ByteArrayInputStream或临时文件 - 示例片段（Spring Boot）：
MultipartFile file = ...;
try (InputStream is = file.getInputStream();
DigestInputStream dis = new DigestInputStream(is, MessageDigest.getInstance("SHA-256"))) {
// 消费流（例如复制到目标路径）
Files.copy(dis, targetPath, StandardCopyOption.REPLACE_EXISTING);
byte[] hashBytes = dis.getMessageDigest().digest();
String hexHash = Hex.encodeHexString(hashBytes);
long fileSize = dis.getByteCount(); // 注意：DigestInputStream 不自带计数，需自行包装或用 CountingInputStream
log.info("File uploaded: name={}, size={}B, sha256={}",
file.getOriginalFilename(), fileSize, hexHash);
}
使用 Apache Commons IO 简化计数与哈希
借助 CountingInputStream 和 DigestInputStream 组合，能更清晰地分离关注点。
deep-java-review
下载
Java项目代码review工具。分析Git变更+完整调用链路上下文，推断业务需求，进行多维度评分和分类汇总，生成完整PRD文档。包含细粒度Java代码审查清单（Null安全、异常处理、Streams、并发、equals/hashCode、资源管理、API设计、性能、MyBatis/ORM、事务边界、SQL/DD...
- 添加依赖：
org.apache.commons:commons-io:2.11.0 - 构造嵌套流：
new DigestInputStream(new CountingInputStream(in), digest) - 调用
countingStream.getCount()获取大小，digest.digest()获取哈希结果 - 注意：必须完整读取流（如调用
IOUtils.toByteArray()或Files.copy()），否则摘要不完整
日志格式建议与安全提醒
记录哈希有助于校验完整性，但避免在日志中暴露敏感文件名或路径（如含用户 ID 的临时路径）。建议结构化记录：
立即学习“Java免费学习笔记（深入）”；
- 使用占位符而非字符串拼接，便于后续解析（如 Logback 的 JSON encoder）
- 示例结构化日志（Logback + JSON）：
- MD5 已不推荐用于安全场景，生产环境优先用 SHA-256 或 SHA-3
- 大文件（>100MB）慎用内存式哈希；可分块读取并更新摘要，避免 OOM
{"event":"file_upload","filename":"report.pdf","size":2048576,"sha256":"a1b2c3...","timestamp":"2024-05-20T10:30:45Z"}
异步记录与性能权衡
哈希计算是 CPU 密集型操作，若上传并发高，可考虑：
- 将哈希计算与日志记录放入独立线程池（如
Executors.newVirtualThreadPerTaskExecutor()，JDK 21+） - 但注意：异步后无法在当前请求响应中返回哈希值；若业务需要，仍需同步完成
- 日志本身应配置为异步 Appender（如 Logback 的
AsyncAppender），避免阻塞主线程
