Go用archive/zip创建ZIP需手动遍历目录、净化路径、设UTF-8标志防乱码，解压时须校验路径防穿越，并去重处理ZIP条目。
如何用 archive/zip 创建 ZIP 压缩包
Go 标准库的 archive/zip 支持写入 ZIP 文件，但不支持直接添加整个目录——必须手动遍历文件并逐个写入。关键点在于：不能只调用 zip.Writer.Create() 就完事，得先用 os.Stat() 判断是否为目录，再递归处理；否则压缩包里会出现空目录或路径错误。
常见错误是把相对路径拼错，比如传入 "./src/main.go" 会导致 ZIP 内路径含 ./ 前缀，解压时生成多余层级。应统一用 filepath.Rel() 或手动裁剪前缀。
- 打开输出文件用
os.Create()，不是os.OpenFile()（避免误设标志） - 每个文件写入前，需调用
writer.CreateHeader()并传入正确zip.FileHeader，其中Name字段必须是正斜杠分隔的路径（Windows 下也要转filepath.ToSlash()） - 文件内容从
os.Open()读取后，直接io.Copy()到zip.FileWriter，不要缓存全文到内存 - 最后务必调用
writer.Close()，否则 ZIP 结尾结构损坏，解压会报 “invalid zip file”
file, _ := os.Create("output.zip")
defer file.Close()
writer := zip.NewWriter(file)
defer writer.Close()
walkFn := func(path string, info os.FileInfo, err error) error {
if err != nil {
return err
}
if info.IsDir() {
return nil
}
relPath, _ := filepath.Rel("input_dir", path)
header, _ := zip.FileHeaderFromFileInfo(info)
header.Name = filepath.ToSlash(relPath)
header.Method = zip.Deflate
fw, _ := writer.CreateHeader(header)
src, _ := os.Open(path)
io.Copy(fw, src)
src.Close()
return nil
}
filepath.Walk("input_dir", walkFn)
如何安全地解压 ZIP 文件防路径穿越
直接用 zip.File.Open() + filepath.Join() 拼接目标路径是高危操作。攻击者可在 ZIP 中构造 ../../../etc/passwd 类似路径，导致文件被写到任意位置。标准做法是：对每个 zip.File.Name 做路径净化，拒绝含 ".." 或以 "/" 开头的路径。
注意 zip.File.Name 是 ZIP 内部路径，可能含 Windows 风格反斜杠，需先统一转为正斜杠再校验。
立即学习“go语言免费学习笔记（深入）”；
- 用
filepath.Clean()处理路径后，检查结果是否仍含".."或以"/"开头 - 解压目标根目录必须是绝对路径（如
absDest, _ := filepath.Abs("./out")），再与净化后的文件名拼接 - 创建父目录时用
os.MkdirAll()，但要确保权限合理（ZIP 中的Mode()不一定可信，建议统一设为0644或0755） - 如果是符号链接（
file.Mode()&os.ModeSymlink != 0），应跳过或报错，不解析
rc, _ := zipFile.Open()
defer rc.Close()
cleanName := filepath.Clean(filepath.ToSlash(file.Name))
if strings.Contains(cleanName, "..") || filepath.IsAbs(cleanName) {
return fmt.Errorf("illegal file path: %s", file.Name)
}
dstPath := filepath.Join(destDir, cleanName)
if file.IsDir() {
os.MkdirAll(dstPath, 0755)
} else {
os.MkdirAll(filepath.Dir(dstPath), 0755)
dstFile, _ := os.Create(dstPath)
io.Copy(dstFile, rc)
dstFile.Close()
}
zip.FileHeader 中 Method 和 Flags 的实际影响
设置 zip.FileHeader.Method 为 zip.Store 或 zip.Deflate 直接决定是否压缩。默认是 zip.Store（无压缩），哪怕你调了 writer.RegisterCompressor() 也没用——必须显式赋值。
zip.FileHeader.Flags 控制 ZIP 元数据行为：0x0001 表示文件名用 UTF-8 编码（推荐开启，否则中文名在 Windows 上乱码）；0x0008 表示有数据描述符（用于流式写入，一般不用）。忽略 Flags 可能导致解压工具无法识别中文路径。
- 写入前设置
header.Flags = 0x0001，否则中文文件名在部分解压器中显示为乱码 -
header.SetModTime()和header.SetMode()必须在CreateHeader()前调用，否则无效 - 如果源文件是可执行文件（如
.sh），需手动设header.SetMode(0755)，否则解压后权限丢失 - 不建议手动修改
header.CRC32或UncompressedSize64，zip.Writer会自动计算
为什么 zip.Reader.File 的数量和实际文件数不一致
zip.Reader.File 是切片，包含所有 ZIP 中的条目，但 ZIP 规范允许一个条目对应目录（file.IsDir() == true）或普通文件。有些打包工具会在 ZIP 中写入空目录条目（结尾带 "/"），而 Go 的 filepath.Walk() 默认跳过空目录——这导致“压缩包里看着有 10 个文件，len(reader.File) 却是 12”。
更隐蔽的问题是：ZIP 中可能含重复文件名（后写入的覆盖先写入的），但 zip.Reader 仍会列出全部条目，实际解压时只有最后一个生效。所以遍历时不能只看索引，必须用 file.Name 做去重或校验。
- 遍历
reader.File时，先过滤掉file.Name == ""或strings.HasSuffix(file.Name, "/")的目录条目（除非你需要重建目录结构） - 用
map[string]bool记录已处理的file.Name，跳过重复项 - 别依赖
len(reader.File)判断文件总数，应统计满足!file.IsDir() && !strings.HasSuffix(file.Name, "/")的条目数 - 某些 ZIP 含注释、扩展字段等元数据，它们也计入
reader.File，但file.DataOffset == 0，需跳过
../.env，直接覆盖配置文件。 
