当前位置：首页 > 文章列表 > Golang > Go教程 > Go archive/tar 解压如何阻断路径逃逸：文件名清理、目标目录校验与回滚

Go archive/tar 解压如何阻断路径逃逸：文件名清理、目标目录校验与回滚

来源：17golang原创 2026-08-26 09:41:44 0浏览收藏

上传一个 tar 包时，最危险的地方通常不是读取字节，而是把 Header.Name 当成普通文件名，直接拼到解压目录后写盘。条目里只要出现绝对路径、../，或者先写入一个指向目录外的符号链接，解压结果就可能越过预期目录。稳妥的做法是先检查每个条目，再写入独立临时目录，全部通过后才替换正式目录。

要点速览

条目名先用 filepath.IsLocal 和清理后的相对路径判断，不能只靠字符串前缀。
普通文件、目录、符号链接要分开处理，符号链接默认拒绝更容易守住边界。
所有内容先落到临时目录，校验完成后再做目录替换，失败时删除临时目录即可回滚。
条目数量、单文件大小和总展开大小也属于压缩包的资源边界。

Go archive/tar 条目名经过 filepath.IsLocal 与目标目录校验后进入安全分支或拒绝分支的工程示意图

先把解压目标从正式目录隔离出来

假设服务把用户包展开到 /srv/app/releases/current。不要边读边写这个目录，而是为本次请求创建同级临时目录，例如 /srv/app/releases/.upload-xxxx。临时目录只负责承接本次结果，后续的文件名检查、大小限制和完整性检查都围绕它进行。

方案选择上，直接拼接路径最省代码，但无法回答“结果是否仍在目标目录内”；仅检查 strings.HasPrefix 又会把 /srv/app/releases-old 错认为子目录。相对路径校验和临时目录落盘多几步，却把失败影响面压缩到了一个可删除目录。

用 IsLocal 和 Rel 拦住条目名

Go 的 archive/tar 会按顺序返回每个 Header。应用层可以先拒绝非本地路径，再把清理后的相对路径与目标目录组合，最后用绝对路径关系复核一次：

func safeTarget(root, name string) (string, error) {
    if !filepath.IsLocal(name) {
        return "", fmt.Errorf("unsafe tar name: %q", name)
    }
    clean := filepath.Clean(filepath.FromSlash(name))
    if clean == "." || clean == string(filepath.Separator) {
        return "", fmt.Errorf("empty tar name")
    }
    target := filepath.Join(root, clean)
    rel, err := filepath.Rel(root, target)
    if err != nil || rel == ".." || strings.HasPrefix(rel, ".."+string(filepath.Separator)) {
        return "", fmt.Errorf("tar entry escapes root: %q", name)
    }
    return target, nil
}

检查点不在于把 .. 替换掉，而在于遇到不满足条件的条目就停止。否则攻击者可以用“清理后看起来正常”的路径覆盖已有文件，错误也很难追溯。

普通文件、目录和链接不要共用一条写入路径

目录只需要创建；普通文件需要限制 Header.Size 并用 io.CopyN 读取；符号链接和硬链接则要单独决策。一个面向上传包的默认策略是拒绝链接类型，这比先创建链接再猜它是否指向 root 外部更简单。

const maxFile = 32  maxFile { return fmt.Errorf("file too large: %s", h.Name) }
    if err := os.MkdirAll(filepath.Dir(target), 0750); err != nil { return err }
    f, err := os.OpenFile(target, os.O_CREATE|os.O_EXCL|os.O_WRONLY, 0600)
    if err != nil { return err }
    _, copyErr := io.CopyN(f, tr, h.Size)
    closeErr := f.Close()
    if copyErr != nil { return copyErr }
    if closeErr != nil { return closeErr }
default:
    return fmt.Errorf("unsupported tar type: %d", h.Typeflag)
}

O_EXCL 让重复条目不能悄悄覆盖同一文件；生产代码还应累计条目总数和总字节数，并在超过限制时停止读取。这里的限制不是安全边界的替代品，它主要防止一个合法路径把磁盘和进程时间耗尽。