Go标准库archive/zip可完成压缩解压，但需注意路径安全、UTF-8中文名、空目录处理：写入时用filepath.Rel转相对路径并设Name结尾斜杠，解压前用filepath.Clean校验防遍历，Go1.22+用SetUTF8(true)支持中文。
Go 标准库 archive/zip 足以完成大多数文件压缩与解压任务，无需引入第三方依赖；但直接调用容易忽略路径安全、中文文件名、空目录处理等关键细节。
如何用 zip.Writer 安全打包多个文件和子目录
核心是递归遍历路径并正确设置 zip.FileHeader.Name，否则会生成绝对路径或报错 invalid header field。
- 必须将文件系统路径转为 ZIP 内部相对路径（如
/home/user/a.txt→a.txt或sub/a.txt），否则zip.Writer.CreateHeader()会拒绝写入 - 对目录需显式创建
FileHeader并设置Mode().IsDir()和结尾斜杠（Name = "dir/"），否则解压端可能无法识别为空目录 - 避免使用
filepath.Abs()得到的路径直接拼接进Name，否则 ZIP 包含非法字符（如/开头）导致多数解压工具静默失败 - 若需保留原始路径结构，应先
filepath.Rel(root, fullPath)获取相对路径，再清理开头的..防止路径逃逸
func zipDir(writer *zip.Writer, basePath, path string) error {
return filepath.Walk(path, func(filePath string, info os.FileInfo, err error) error {
if err != nil {
return err
}
header, err := zip.FileInfoHeader(info)
if err != nil {
return err
}
relPath, err := filepath.Rel(basePath, filePath)
if err != nil {
return err
}
header.Name = filepath.ToSlash(relPath) // 统一用正斜杠
if info.IsDir() {
header.Name += "/" // 目录必须带尾部斜杠
} else {
header.Method = zip.Deflate // 建议显式设压缩算法
}
writer.CreateHeader(header)
if !info.IsDir() {
f, err := os.Open(filePath)
if err != nil {
return err
}
_, err = io.Copy(writer, f)
f.Close()
return err
}
return nil
})
}
解压 ZIP 时如何防止路径遍历（../../../etc/passwd）攻击
标准库不自动校验 FileHeader.Name，恶意 ZIP 可通过构造超长相对路径覆盖任意位置——这是生产环境最常被忽略的安全点。
- 必须在调用
zippedFile.Open()前检查header.Name是否包含"../"或以"/"开头 - 更稳妥的方式是用
filepath.Clean(header.Name)归一化路径后，确认其不包含".."且前缀为预期目标目录（如"./"） - Windows 下还需注意
"..\\"、":"、"C:\\"等变体，建议统一转小写并替换反斜杠为正斜杠后再判断 - 解压单个文件时不要直接拼接
dst + header.Name，应拆分路径逐级os.MkdirAll()
func safeExtract(zr *zip.ReadCloser, dst string) error {
for _, file := range zr.File {
header := file.FileHeader
cleanName := filepath.Clean(header.Name)
if strings.Contains(cleanName, "..") || filepath.IsAbs(cleanName) {
return fmt.Errorf("illegal file path: %s", header.Name)
}
destPath := filepath.Join(dst, cleanName)
if header.FileInfo().IsDir() {
os.MkdirAll(destPath, 0755)
continue
}
rc, err := file.Open()
if err != nil {
return err
}
defer rc.Close()
outFile, err := os.OpenFile(destPath, os.O_CREATE|os.O_WRONLY|os.O_TRUNC, header.FileInfo().Mode())
if err != nil {
return err
}
_, err = io.Copy(outFile, rc)
outFile.Close()
if err != nil {
return err
}
}
return nil
}
中文文件名乱码问题：archive/zip 默认不支持 UTF-8
Go 1.22 之前，archive/zip 默认使用 CP437 编码写入文件名，Windows 解压工具读取中文名会显示为乱码；Linux 工具（如 unzip）通常能自动 fallback 到 UTF-8，但不可靠。
立即学习“go语言免费学习笔记（深入）”；
- Go 1.22+ 支持
zip.FileHeader.SetUTF8(true)，启用后文件名按 UTF-8 存储，兼容性最佳 - 旧版本只能手动修改
header.Flags第 11 位（bit 11）为 1：header.Flags |= 0x800，但需确保所有内容（包括注释）都用 UTF-8 编码，否则部分工具仍会失败 - 解压端无需额外处理——只要 ZIP 文件头声明了 UTF-8，主流工具（7-Zip、macOS 归档实用工具、unzip -O UTF-8）都能正确识别
- 注意：即使启用了 UTF-8，
header.Name字符串本身仍是 Go 的 UTF-8 字符串，无需额外编码转换
性能与边界：大文件、内存占用与并发限制
archive/zip 是流式处理，但默认不启用并发，也不做缓冲优化；实际使用中几个关键约束必须提前规划：
- 压缩时，
zip.Writer不缓存整个 ZIP 文件到内存，但每个FileHeader和对应数据块仍需顺序写入，无法跳过中间文件重写某一项 - 解压单个大文件（>1GB）时，
file.Open()返回的io.ReadCloser是惰性解压流，内存占用可控；但若用ioutil.ReadAll()一次性读入，会 OOM - 标准库不支持多线程压缩（如
zip -T或zstd的并行模式），如需提速，只能外挂命令行工具（exec.Command("7z", "a", ...)）或改用github.com/klauspost/compress等第三方库 - ZIP64 支持已内置，但需确保
FileHeader.UncompressedSize64和CompressedSize64正确设置，否则超 4GB 文件解压失败
真正棘手的不是语法，而是路径清洗、编码声明和大小写敏感逻辑——这些地方出错，往往表现为“能压不能解”“解出来文件名乱码”“目录消失”，排查时容易绕远路。
