ZIP 解压缩

ZIP 解压缩用于打开压缩包，并还原其中保存的文件。它适合在收到压缩包后先查看内容、只取其中某个文件、核对文件名和大小，或在下载全部文件前判断这个包是否值得信任。对于普通文件，ZIP 解压是无损的，解出来的内容应当与压缩前一致；但解压并不代表内容安全。压缩包可能包含误导性文件名、意外目录、解压后体积巨大的数据，或不应直接打开的可执行文件。这个浏览器工具会在本地读取压缩包，并允许下载选中的文件，适合小型检查和取少量文件。它不会在磁盘上完整重建原始目录树，也不能替代对可疑压缩包的安全审查。

读取 ZIP 归档的过程与写入相反。浏览器通过 File API（`file.arrayBuffer()`）接收文件为 `ArrayBuffer`，读取器从文件尾部反向扫描寻找中央目录结束签名 `0x06054b50`（PK\x05\x06）。EOCD 最多 22 字节加上可选的最多 65,535 字节注释，因此扫描窗口是有界的。EOCD 指向中央目录的偏移量和大小，中央目录为每个条目保存一个文件头（`0x02014b50`）。每个文件头包含压缩和未压缩大小、CRC-32、压缩方法、文件名以及匹配的本地文件头（`0x04034b50`）的偏移量。读取器可以直接定位到任何单个条目，而无需解析其前面的条目——这就是从数 GB 的备份中快速提取单个文件的原因。 解压取决于方法字节：`0x00` 为存储（无压缩，仅 memcpy），`0x08` 为 DEFLATE（RFC 1951，约 99% 的归档），`0x0C` 为 BZIP2，`0x0E` 为 LZMA，`0x5D` 为较旧的 PPMd。此工具使用 JSZip（或用 fflate 获得更高吞吐量——fflate 的 `unzipSync` 可在数十毫秒内解码一个典型的 10 MB DEFLATE 归档，比 JSZip 快数倍）。解压后会重新计算原始字节的 CRC-32 并与中央目录中的值比较；不匹配表示数据损坏或被篡改。 任何提取代码路径都需要注意两个安全问题。第一个是 Zip Slip 漏洞（Snyk，2018）：恶意归档可能包含带路径遍历序列（如 `../../etc/passwd`）的条目，将条目名称直接拼接到目标目录的朴素提取器会写入预期沙箱之外的位置。修复方法是使用 `path.resolve()` 规范化拼接后的路径，并在写入前验证它仍以目标目录开头。此工具通过 `URL.createObjectURL(new Blob([bytes]))` 将每个条目作为独立的浏览器下载提供，浏览器会将目标沙箱化，因此目录遍历无法逃出用户的下载文件夹，但同样的归档在服务端提取器上是可利用的。第二个是加密归档未处理：传统 ZipCrypto 是 32 位流加密，已知明文攻击仅需 3 个字节即可破解；现代 WinZip AES-256（PKWARE APPNOTE 7.0）需要 AE-2 额外字段和 HMAC-SHA1 认证——两者均未在此实现。超过 4 GiB 的归档依赖 ZIP64 扩展的额外字段提供 64 位大小和偏移量，解析器必须读取这些字段而非 32 位的中央目录字段。

• 解析顺序：从文件尾部反向扫描 EOCD 签名 `0x06054b50`（距末尾最多 22 + 65535 字节）→ 定位到中央目录 → 定位到每个本地文件头。
• 压缩方法：`0x00` 存储、`0x08` DEFLATE（RFC 1951，约 99% 的归档）、`0x0C` BZIP2、`0x0E` LZMA、`0x5D` PPMd。
• 完整性：使用多项式 `0xEDB88320`（反向 IEEE 802.3）的 CRC-32 对提取的字节重新计算，并与中央目录中的值比较。
• Zip Slip（Snyk 2018）：包含 `../` 路径遍历的条目可能写入提取目录之外；修复方法是在写入前规范化并验证解析后的路径。
• 浏览器实现：`File.arrayBuffer()` → JSZip / fflate `unzipSync()` → 每个条目通过 `URL.createObjectURL(new Blob([bytes]))` 下载，无服务器往返。
• 加密未处理：ZipCrypto 在 3 个已知明文字节内即可破解；WinZip AES-256（APPNOTE 7.0，AE-2 额外字段配合 HMAC-SHA1）未在此实现。
• ZIP64（APPNOTE 4.5+）通过额外字段将 32 位大小/偏移字段扩展为 64 位；归档或单个条目超过 4 GiB（2³² − 1 字节）时必需。