Go tar 解包遇到链接文件怎样限制目标路径

解包不可信 tar 时，如果业务不需要保留链接，最直接的策略是拒绝符号链接和硬链接，只允许普通文件与目录，并通过限定根目录的文件 API 完成实际写入。只检查 Header.Name 不够，链接还包含 Linkname，文件系统中已有的链接也会改变路径解析结果。

tar 官方文档：https://pkg.go.dev/archive/tar

根目录 API：https://pkg.go.dev/os

路径约束说明：https://go.dev/blog/osroot

采用信号：从字符串拼接转向根目录操作

Go 从 1.24 提供 os.Root，把文件操作限定在一个目录树中；本文示例还使用 1.25 加入的 Root.MkdirAll，因此要求 Go 1.25 或更新版本。这里讨论 API 选择带来的工程价值，不宣称存在行业普及率、事故增长或未经证实的采用趋势。

传统写法往往把解包根路径与条目名拼接，再调用普通 os.OpenFile。即使拼出的字符串看起来在目标目录下面，实际解析时仍可能经过目录中的符号链接。把检查和打开拆成两次操作，还会产生检查完成后路径被替换的时间差。

解决的问题：条目路径与链接目标分别处理

Header.Name 表示条目的名字；TypeSymlink 和 TypeLink 的 Linkname 表示链接目标。符号链接的相对目标通常相对于链接所在目录解释，硬链接则需要按归档语义及解包器策略处理，不能套用同一套字符串拼接。

第一张图包含条目名、链接目标、条目类型、类型策略、词法检查与根目录句柄。类型策略依据条目类型决定接受还是拒绝；词法检查约束条目名；根目录句柄负责后续文件操作的解析范围。因为本例拒绝链接，链接目标不会进入创建操作。

受益角色：为上传解包选择严格策略

附件导入、文档资源包和配置包通常可以明确规定只接受目录和普通文件。这时拒绝所有链接比维护链接解析规则更容易解释、审计和运维。但它也会拒绝合法的软件发行包，不能假装是兼容任意 tar 的通用实现。

若业务必须保留链接，应单独定义允许的链接类型、目标范围、重复条目行为、最终目录的使用方式和操作系统约束。尤其不能先创建任意 Linkname，事后才遍历检查是否越界。Root.Symlink 本身不会验证目标字符串是否指向根外，不能把“通过 Root 创建了链接”当成“链接目标已获准”。

风险：词法检查不能替代实际路径约束

filepath.IsLocal 是词法判断，不访问文件系统，因此可以作为路径输入规则，却不能识别目录树里已有的符号链接。EvalSymlinks 后再用普通路径打开，也不能自然消除并发替换造成的时间差。

本文在受控父目录下新建私有暂存目录，再用 os.OpenRoot 限制操作。父目录及暂存目录必须由服务控制，不能让不可信本地用户改名、插入挂载或替换内容。os.Root 不是进程沙箱，不限制资源消耗、文件内容或目录树中的所有操作系统对象；它也有平台差异，本文示例面向常规 Linux 服务环境，不把其保证泛化到 GOOS=js 等环境。

不要直接解包到线上资源目录或已有用户目录：已有对象、覆盖行为以及失败后的半成品都会增加复杂度。先落盘到独立暂存目录，业务接受后再按受控流程使用结果。

采用路径：私有暂存目录与拒绝链接示例

下面是原创的严格模式函数，只接收未压缩 tar 流。它拒绝链接和特殊条目，限制普通文件大小、累计正文大小、可见条目数和路径长度，使用排他创建避免覆盖已有普通文件。父目录应为服务预先配置的私有目录，不能直接取上传参数。

package stricttar

import (
    "archive/tar"
    "fmt"
    "io"
    "os"
    "path/filepath"
    "strings"
)

func Extract(src io.Reader, privateParent string) (result string, err error) {
    dir, err := os.MkdirTemp(privateParent, "unpack-")
    if err != nil {
        return "", err
    }
    // 此父目录与新目录必须由服务独占；失败清理不与其他任务共享。
    defer func() {
        if err != nil {
            if cleanupErr := os.RemoveAll(dir); cleanupErr != nil {
                err = fmt.Errorf("%w; cleanup failed: %v", err, cleanupErr)
            }
        }
    }()
    root, err := os.OpenRoot(dir)
    if err != nil {
        return "", err
    }
    defer root.Close()

    const maxFile int64 = 16  1000 || len(h.Name) > 1024 {
            return "", fmt.Errorf("entry count or name limit")
        }
        // tar 使用斜杠；严格模式另外拒绝反斜杠，避免跨平台歧义。
        name := filepath.FromSlash(h.Name)
        if strings.Contains(h.Name, "\\") || !filepath.IsLocal(name) {
            return "", fmt.Errorf("non-local entry: %q", h.Name)
        }
        name = filepath.Clean(name)
        if name == "." {
            if h.Typeflag == tar.TypeDir {
                continue // 允许归档中代表根目录的目录标记。
            }
            return "", fmt.Errorf("invalid root entry")
        }

        switch h.Typeflag {
        case tar.TypeDir:
            if err := root.MkdirAll(name, 0700); err != nil {
                return "", fmt.Errorf("mkdir: %w", err)
            }
        case tar.TypeReg, tar.TypeRegA:
            if h.Size  maxFile || h.Size > maxTotal-total {
                return "", fmt.Errorf("file size budget exceeded")
            }
            if err := root.MkdirAll(filepath.Dir(name), 0700); err != nil {
                return "", fmt.Errorf("parent directory: %w", err)
            }
            f, openErr := root.OpenFile(name,
                os.O_WRONLY|os.O_CREATE|os.O_EXCL, 0600)
            if openErr != nil {
                return "", fmt.Errorf("create: %w", openErr)
            }
            n, copyErr := io.CopyN(f, tr, h.Size)
            closeErr := f.Close() // 每个文件立即关闭，不在循环内堆积 defer。
            if copyErr != nil {
                return "", fmt.Errorf("copy %d bytes: %w", n, copyErr)
            }
            if closeErr != nil {
                return "", fmt.Errorf("close file: %w", closeErr)
            }
            total += n
        default:
            // 链接、设备、FIFO 等均不创建，也不尝试解析链接目标。
            return "", fmt.Errorf("unsupported entry type %d", h.Typeflag)
        }
    }
}

函数返回成功目录后，调用方负责后续使用与最终删除；输入 Reader 的关闭由调用方管理。示例不恢复归档提供的属主、可执行位或特殊权限，也不执行解包出的文件。失败清理错误会附带返回，便于任务系统回收暂存目录。本文没有在本地运行这段代码或声称完成攻击样本验证。

暂存目录与根目录句柄提供路径范围，普通文件与目录是允许对象，错误清理负责失败产物，资源预算负责体积和条目约束。第二张图展示这些责任的分组关系，不代表资源预算已经覆盖全部输入风险。

观察指标：失败原因与资源预算分别记录

记录拒绝链接、非法路径、不支持类型、大小超限、条目数量超限和磁盘写入错误的计数，路径日志应限长并做合适转义。一次拒绝意味着策略不接受该包，不等于已经证实恶意行为。

示例限制的是 Reader 返回条目和文件正文，不是完整抗资源耗尽方案。扩展元数据可能由 tar 解析器内部处理，输入还可能阻塞；压缩流则另有压缩体积、展开流量、CPU 时间与校验需求。生产入口应额外限制输入字节、解压预算、时长、磁盘配额和并发，不应只根据 Header.Size 宣称可以防御所有压缩炸弹。

只拒绝带两个点的名字够吗？不够，绝对路径、平台差异和文件系统链接同样影响结果。路径策略与实际根目录操作需要配合。

所有链接都指向包内，也可以直接放行吗？不能只凭单条 Linkname 判断，后续条目、嵌套链接与最终使用者仍会影响解析。没有明确链接需求时，保持拒绝策略更清楚。

为什么正常包被拒绝了？先确认它是否包含链接或特殊条目。严格导入器与完整系统归档还原器的能力范围不同，应在上传规范中写明支持对象。