Go用archive/zip创建ZIP需手动遍历目录、净化路径、设UTF-8标志防乱码，解压时须校验路径防穿越，并去重处理ZIP条目。

如何用 archive/zip 创建 ZIP 压缩包

Go 标准库的 archive/zip 支持写入 ZIP 文件，但不支持直接添加整个目录——必须手动遍历文件并逐个写入。关键点在于：不能只调用 zip.Writer.Create() 就完事，得先用 os.Stat() 判断是否为目录，再递归处理；否则压缩包里会出现空目录或路径错误。

常见错误是把相对路径拼错，比如传入 "./src/main.go" 会导致 ZIP 内路径含 ./ 前缀，解压时生成多余层级。应统一用 filepath.Rel() 或手动裁剪前缀。

• 打开输出文件用 os.Create()，不是 os.OpenFile()（避免误设标志）
• 每个文件写入前，需调用 writer.CreateHeader() 并传入正确 zip.FileHeader，其中 Name 字段必须是正斜杠分隔的路径（Windows 下也要转 filepath.ToSlash()）
• 文件内容从 os.Open() 读取后，直接 io.Copy() 到 zip.FileWriter，不要缓存全文到内存
• 最后务必调用 writer.Close()，否则 ZIP 结尾结构损坏，解压会报 “invalid zip file”

file, _ := os.Create("output.zip")
defer file.Close()
writer := zip.NewWriter(file)
defer writer.Close()

walkFn := func(path string, info os.FileInfo, err error) error {
    if err != nil {
        return err
    }
    if info.IsDir() {
        return nil
    }
    relPath, _ := filepath.Rel("input_dir", path)
    header, _ := zip.FileHeaderFromFileInfo(info)
    header.Name = filepath.ToSlash(relPath)
    header.Method = zip.Deflate
    fw, _ := writer.CreateHeader(header)
    src, _ := os.Open(path)
    io.Copy(fw, src)
    src.Close()
    return nil
}
filepath.Walk("input_dir", walkFn)

如何安全地解压 ZIP 文件防路径穿越

直接用 zip.File.Open() + filepath.Join() 拼接目标路径是高危操作。攻击者可在 ZIP 中构造 ../../../etc/passwd 类似路径，导致文件被写到任意位置。标准做法是：对每个 zip.File.Name 做路径净化，拒绝含 ".." 或以 "/" 开头的路径。

注意 zip.File.Name 是 ZIP 内部路径，可能含 Windows 风格反斜杠，需先统一转为正斜杠再校验。

• 用 filepath.Clean() 处理路径后，检查结果是否仍含 ".." 或以 "/" 开头
• 解压目标根目录必须是绝对路径（如 absDest, _ := filepath.Abs("./out")），再与净化后的文件名拼接
• 创建父目录时用 os.MkdirAll()，但要确保权限合理（ZIP 中的 Mode() 不一定可信，建议统一设为 0644 或 0755）
• 如果是符号链接（file.Mode()&os.ModeSymlink != 0），应跳过或报错，不解析

rc, _ := zipFile.Open()
defer rc.Close()
cleanName := filepath.Clean(filepath.ToSlash(file.Name))
if strings.Contains(cleanName, "..") || filepath.IsAbs(cleanName) {
    return fmt.Errorf("illegal file path: %s", file.Name)
}
dstPath := filepath.Join(destDir, cleanName)
if file.IsDir() {
    os.MkdirAll(dstPath, 0755)
} else {
    os.MkdirAll(filepath.Dir(dstPath), 0755)
    dstFile, _ := os.Create(dstPath)
    io.Copy(dstFile, rc)
    dstFile.Close()
}

zip.FileHeader 中 Method 和 Flags 的实际影响

设置 zip.FileHeader.Method 为 zip.Store 或 zip.Deflate 直接决定是否压缩。默认是 zip.Store（无压缩），哪怕你调了 writer.RegisterCompressor() 也没用——必须显式赋值。

zip.FileHeader.Flags 控制 ZIP 元数据行为：0x0001 表示文件名用 UTF-8 编码（推荐开启，否则中文名在 Windows 上乱码）；0x0008 表示有数据描述符（用于流式写入，一般不用）。忽略 Flags 可能导致解压工具无法识别中文路径。

• 写入前设置 header.Flags = 0x0001，否则中文文件名在部分解压器中显示为乱码
• header.SetModTime() 和 header.SetMode() 必须在 CreateHeader() 前调用，否则无效
• 如果源文件是可执行文件（如 .sh），需手动设 header.SetMode(0755)，否则解压后权限丢失
• 不建议手动修改 header.CRC32 或 UncompressedSize64，zip.Writer 会自动计算

为什么 zip.Reader.File 的数量和实际文件数不一致

zip.Reader.File 是切片，包含所有 ZIP 中的条目，但 ZIP 规范允许一个条目对应目录（file.IsDir() == true）或普通文件。有些打包工具会在 ZIP 中写入空目录条目（结尾带 "/"），而 Go 的 filepath.Walk() 默认跳过空目录——这导致“压缩包里看着有 10 个文件，len(reader.File) 却是 12”。

更隐蔽的问题是：ZIP 中可能含重复文件名（后写入的覆盖先写入的），但 zip.Reader 仍会列出全部条目，实际解压时只有最后一个生效。所以遍历时不能只看索引，必须用 file.Name 做去重或校验。

• 遍历 reader.File 时，先过滤掉 file.Name == "" 或 strings.HasSuffix(file.Name, "/") 的目录条目（除非你需要重建目录结构）
• 用 map[string]bool 记录已处理的 file.Name，跳过重复项
• 别依赖 len(reader.File) 判断文件总数，应统计满足 !file.IsDir() && !strings.HasSuffix(file.Name, "/") 的条目数
• 某些 ZIP 含注释、扩展字段等元数据，它们也计入 reader.File，但 file.DataOffset == 0，需跳过

# go  # windows  # golang  # 编码  # 工具  # mac  # ai  # macos  # 解压  # win  # 配置文件  # 文件压缩  # cos  # String  # 递归  # bool  # 切片  # len  # copy  # map  # 跳过  # 遍历  # 报错  # 会报  # 压缩包  # 或以  # 包里  # 看着  # 却是 

相关栏目： 【 网站优化151355 】 【 网络推广146373 】 【 网络技术251813 】 【 AI营销90571 】

相关推荐： 如何在IIS中新建站点并解决端口绑定冲突？  Java垃圾回收器的方法和原理总结  JavaScript实现Fly Bird小游戏  如何在云主机上快速搭建多站点网站？  Laravel如何设置定时任务（Cron Job）_Laravel调度器与任务计划配置  Chrome浏览器标签页分组怎么用_谷歌浏览器整理标签页技巧【效率】  Laravel事件和监听器如何实现_Laravel Events & Listeners解耦应用的实战教程  如何注册花生壳免费域名并搭建个人网站？  java中使用zxing批量生成二维码立牌  lovemo网页版地址 lovemo官网手机登录  php静态变量怎么调试_php静态变量作用域调试技巧【解答】  jQuery 常见小例汇总  微信小程序制作网站有哪些,微信小程序需要做网站吗？  Laravel如何创建自定义Facades？（详细步骤）  北京专业网站制作设计师招聘,北京白云观官方网站？  长沙企业网站制作哪家好,长沙水业集团官方网站？  简单实现jsp分页  Windows11怎样设置电源计划_Windows11电源计划调整攻略【指南】  怎么制作一个起泡网,水泡粪全漏粪育肥舍冬季氨气超过25ppm，可以有哪些措施降低舍内氨气水平？  html5怎么画眼睛_HT5用Canvas或SVG画眼球瞳孔加JS控制动态【绘制】  Laravel怎么实现支付功能_Laravel集成支付宝微信支付  Win11摄像头无法使用怎么办_Win11相机隐私权限开启教程【详解】  谷歌浏览器如何更改浏览器主题 Google Chrome主题设置教程  如何自定义建站之星模板颜色并下载新样式？  Laravel怎么实现搜索功能_Laravel使用Eloquent实现模糊查询与多条件搜索【实例】  如何在宝塔面板创建新站点？  网站制作价目表怎么做,珍爱网婚介费用多少？  高防服务器如何保障网站安全无虞？  Laravel如何使用Socialite实现第三方登录？（微信/GitHub示例）  HTML 中动态设置元素 name 属性的正确语法详解  小视频制作网站有哪些,有什么看国内小视频的网站，求推荐？  Laravel怎么创建自己的包(Package)_Laravel扩展包开发入门到发布  JavaScript如何实现倒计时_时间函数如何精确控制  如何批量查询域名的建站时间记录？  Laravel怎么使用Session存储数据_Laravel会话管理与自定义驱动配置【详解】  如何快速搭建安全的FTP站点？  如何快速上传建站程序避免常见错误？  如何在IIS服务器上快速部署高效网站？  佐糖AI抠图怎样调整抠图精度_佐糖AI精度调整与放大细化操作【攻略】  北京网站制作公司哪家好一点,北京租房网站有哪些？  如何破解联通资金短缺导致的基站建设难题？  Laravel观察者模式如何使用_Laravel Model Observer配置  如何在阿里云完成域名注册与建站？  html5如何设置样式_HTML5样式设置方法与CSS应用技巧【教程】  Python企业级消息系统教程_KafkaRabbitMQ高并发应用  google浏览器怎么清理缓存_谷歌浏览器清除缓存加速详细步骤  车管所网站制作流程,交警当场开简易程序处罚决定书，在交警网站查询不到怎么办？  如何快速建站并高效导出源代码？  如何用JavaScript实现文本编辑器_光标和选区怎么处理  Laravel如何使用Blade模板引擎？（完整语法和示例）