17370845950

Go用archive/zip创建ZIP需手动遍历目录、净化路径、设UTF-8标志防乱码，解压时须校验路径防穿越，并去重处理ZIP条目。

如何用 archive/zip 创建 ZIP 压缩包

Go 标准库的 archive/zip 支持写入 ZIP 文件，但不支持直接添加整个目录——必须手动遍历文件并逐个写入。关键点在于：不能只调用 zip.Writer.Create() 就完事，得先用 os.Stat() 判断是否为目录，再递归处理；否则压缩包里会出现空目录或路径错误。

常见错误是把相对路径拼错，比如传入 "./src/main.go" 会导致 ZIP 内路径含 ./ 前缀，解压时生成多余层级。应统一用 filepath.Rel() 或手动裁剪前缀。

• 打开输出文件用 os.Create()，不是 os.OpenFile()（避免误设标志）
• 每个文件写入前，需调用 writer.CreateHeader() 并传入正确 zip.FileHeader，其中 Name 字段必须是正斜杠分隔的路径（Windows 下也要转 filepath.ToSlash()）
• 文件内容从 os.Open() 读取后，直接 io.Copy() 到 zip.FileWriter，不要缓存全文到内存
• 最后务必调用 writer.Close()，否则 ZIP 结尾结构损坏，解压会报 “invalid zip file”

file, _ := os.Create("output.zip")
defer file.Close()
writer := zip.NewWriter(file)
defer writer.Close()

walkFn := func(path string, info os.FileInfo, err error) error {
    if err != nil {
        return err
    }
    if info.IsDir() {
        return nil
    }
    relPath, _ := filepath.Rel("input_dir", path)
    header, _ := zip.FileHeaderFromFileInfo(info)
    header.Name = filepath.ToSlash(relPath)
    header.Method = zip.Deflate
    fw, _ := writer.CreateHeader(header)
    src, _ := os.Open(path)
    io.Copy(fw, src)
    src.Close()
    return nil
}
filepath.Walk("input_dir", walkFn)

如何安全地解压 ZIP 文件防路径穿越

直接用 zip.File.Open() + filepath.Join() 拼接目标路径是高危操作。攻击者可在 ZIP 中构造 ../../../etc/passwd 类似路径，导致文件被写到任意位置。标准做法是：对每个 zip.File.Name 做路径净化，拒绝含 ".." 或以 "/" 开头的路径。

注意 zip.File.Name 是 ZIP 内部路径，可能含 Windows 风格反斜杠，需先统一转为正斜杠再校验。

• 用 filepath.Clean() 处理路径后，检查结果是否仍含 ".." 或以 "/" 开头
• 解压目标根目录必须是绝对路径（如 absDest, _ := filepath.Abs("./out")），再与净化后的文件名拼接
• 创建父目录时用 os.MkdirAll()，但要确保权限合理（ZIP 中的 Mode() 不一定可信，建议统一设为 0644 或 0755）
• 如果是符号链接（file.Mode()&os.ModeSymlink != 0），应跳过或报错，不解析

rc, _ := zipFile.Open()
defer rc.Close()
clea
nName := filepath.Clean(filepath.ToSlash(file.Name))
if strings.Contains(cleanName, "..") || filepath.IsAbs(cleanName) {
    return fmt.Errorf("illegal file path: %s", file.Name)
}
dstPath := filepath.Join(destDir, cleanName)
if file.IsDir() {
    os.MkdirAll(dstPath, 0755)
} else {
    os.MkdirAll(filepath.Dir(dstPath), 0755)
    dstFile, _ := os.Create(dstPath)
    io.Copy(dstFile, rc)
    dstFile.Close()
}

zip.FileHeader 中 Method 和 Flags 的实际影响

设置 zip.FileHeader.Method 为 zip.Store 或 zip.Deflate 直接决定是否压缩。默认是 zip.Store（无压缩），哪怕你调了 writer.RegisterCompressor() 也没用——必须显式赋值。

zip.FileHeader.Flags 控制 ZIP 元数据行为：0x0001 表示文件名用 UTF-8 编码（推荐开启，否则中文名在 Windows 上乱码）；0x0008 表示有数据描述符（用于流式写入，一般不用）。忽略 Flags 可能导致解压工具无法识别中文路径。

• 写入前设置 header.Flags = 0x0001，否则中文文件名在部分解压器中显示为乱码
• header.SetModTime() 和 header.SetMode() 必须在 CreateHeader() 前调用，否则无效
• 如果源文件是可执行文件（如 .sh），需手动设 header.SetMode(0755)，否则解压后权限丢失
• 不建议手动修改 header.CRC32 或 UncompressedSize64，zip.Writer 会自动计算

为什么 zip.Reader.File 的数量和实际文件数不一致

zip.Reader.File 是切片，包含所有 ZIP 中的条目，但 ZIP 规范允许一个条目对应目录（file.IsDir() == true）或普通文件。有些打包工具会在 ZIP 中写入空目录条目（结尾带 "/"），而 Go 的 filepath.Walk() 默认跳过空目录——这导致“压缩包里看着有 10 个文件，len(reader.File) 却是 12”。

更隐蔽的问题是：ZIP 中可能含重复文件名（后写入的覆盖先写入的），但 zip.Reader 仍会列出全部条目，实际解压时只有最后一个生效。所以遍历时不能只看索引，必须用 file.Name 做去重或校验。

• 遍历 reader.File 时，先过滤掉 file.Name == "" 或 strings.HasSuffix(file.Name, "/") 的目录条目（除非你需要重建目录结构）
• 用 map[string]bool 记录已处理的 file.Name，跳过重复项
• 别依赖 len(reader.File) 判断文件总数，应统计满足 !file.IsDir() && !strings.HasSuffix(file.Name, "/") 的条目数
• 某些 ZIP 含注释、扩展字段等元数据，它们也计入 reader.File，但 file.DataOffset == 0，需跳过

路径净化、编码标记、条目去重——这些不是锦上添花的优化，而是 ZIP 操作中真正卡住上线的细节。稍不注意，压缩包在 macOS 上正常，Windows 解压就报错；或者用户上传的 ZIP 里藏个 ../.env，直接覆盖配置文件。