go需读前1024字节比对magic bytes识别格式：zip为0x504b0304，gzip为0x1f8b，tar则查257–262字节是否含ustar或空格；tar.gz先按gzip识别再解压校验内部tar结构。
如何用同一入口识别 zip/tar.gz/gz 文件格式
Go 标准库不提供自动格式探测，必须靠文件头（magic bytes）手动判断。只看扩展名会出错，比如 .tar 文件被重命名为 .zip，或用户上传无后缀的压缩流。
实际做法是读取文件前 1024 字节，比对常见归档格式的 magic header：
-
zip：开头 4 字节为0x50 0x4b 0x03 0x04 -
gzip：开头 2 字节为0x1f 0x8b -
tar（纯 tar，未压缩）：第 257–262 字节为ustar\0或全 ASCII 空格（GNU tar 兼容性更松） -
tar.gz：本质就是 gzip 流，里面再套 tar —— 所以先命中gzip，解压后再用 tar.NewReader 检查内部结构
别跳过 io.ReadFull 的错误检查：短读（如文件只有 1 字节）会导致 panic 或误判。
archive/zip 和 compress/gzip 的 Reader 接口不兼容怎么办
archive/zip.OpenReader 要求传入已知大小的 *os.File 或 io.ReaderAt；而 compress/gzip.NewReader 只接受任意 io.Reader。两者无法直接串接。
统一接口里要分两层处理：
- 对
.gz单文件：用gzip.NewReader包一层，再交给业务逻辑（比如解压后存盘或解析内容） - 对
.zip：必须确保输入支持Seek，否则zip.OpenReader会失败 —— 如果来源是 HTTP body 或 pipe，得先io.Copy到bytes.Buffer或临时文件 - 对
.tar.gz：先用gzip.NewReader解包，再用tar.NewReader读取其输出流，注意tar.NewReader不校验 magic，它信任上游已解压
常见坑：gzip.NewReader(io.MultiReader(...)) 后直接传给 zip.OpenReader 必然 panic —— 因为 MultiReader 不实现 io.ReaderAt。
解压路径遍历攻击（Path Traversal）怎么防
用户构造恶意 ZIP 文件，含 ../../../etc/passwd 这类路径，直接 filepath.Join(dest, header.Name) 会写到任意目录。
关键动作只有两个：
- 调用
filepath.Clean(header.Name)归一化路径，把../消掉 - 检查清理后路径是否仍以目标根目录为前缀：
!strings.HasPrefix(cleaned, destDir+string(filepath.Separator))
注意：header.Name 是 ZIP 内部路径，可能含 Windows 风格反斜杠，filepath.Clean 在不同 OS 下行为一致，但比较前缀时要用 filepath.ToSlash 统一转换，避免 Linux 下因 \ 未被识别而绕过检测。
大文件解压时内存和磁盘爆满怎么控
Zip 解压默认把整个文件读进内存再写，遇到几百 MB 的 ZIP 容易 OOM；tar.gz 流式解压虽好，但若不控制单个文件写入大小，仍可能填满磁盘。
实操要点：
- ZIP 解压不用
file.Open()，改用zip.OpenReader+file.OpenHeader()流式打开每个项，边读边写 - 对每个
zip.File，用io.LimitReader(rc, maxFileSize)限制单文件最大解压体积（比如 100MB） - 创建目标文件前，先
os.Stat(destDir)检查剩余空间，低于阈值提前返回错误 - gzip/tar 流式解压时，别用
io.Copy直接灌到底 —— 改用带 buffer 的io.CopyBuffer(dst, src, make([]byte, 32*1024))，减少系统调用次数
最易被忽略的是：临时解压目录的父路径权限没检查，导致写入失败却报 “no such file” 这类误导性错误 —— 应在解压前 os.Stat 目标根目录并确认可写。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
