ZipArchive::extractTo() 是 PHP 8.3 最直接安全的 ZIP 解压方式，但需校验路径、权限及 ZIP 完整性；getFromName() 更适合按需读取单文件；禁用 exec('unzip') 因其不安全且跨平台差。
ZipArchive::extractTo() 是 PHP 8.3 中最直接、最安全的压缩文件数据导入方式，前提是 ZIP 文件已存在且路径可控。不推荐在 Web 请求中直接解压用户上传的 ZIP 包，除非你做了完整的路径校验和白名单过滤。
ZipArchive::extractTo() 解压到指定目录
这个方法把整个 ZIP 包内容一次性提取到目标路径，省去手动遍历条目、拼接路径、创建目录等步骤，但隐含风险：它不自动过滤 ../ 路径穿越，也不区分文件/目录类型。
常见错误现象：extractTo() 返回 TRUE 却没生成任何文件，或解压出错后静默失败；实际是目标目录不存在、无写权限，或 ZIP 内含非法路径（如 ../../etc/passwd）被系统拒绝写入。
- 必须提前确保目标目录存在且可写：
is_writable($targetDir)+mkdir($targetDir, 0755, true) - 调用前先用
$zip->open($zipFile)检查返回值是否为ZipArchive::ER_OK，不是就别往下走 - 若需限制只解压特定子目录（如
data/下的文件），不能依赖extractTo()自动过滤，得改用getNameIndex()遍历 + 白名单匹配 - PHP 8.3 默认启用
open_basedir时，$targetDir必须落在允许范围内，否则extractTo()直接失败
ZipArchive::getFromName() 按需读取单个文件内容
当你只需要导入 ZIP 中某个配置文件（如 config.json）或 CSV 数据，而不是全部解压，getFromName() 更轻量、更可控。它返回原始二进制内容，由你决定如何解析或保存。
使用场景：后台任务导入用户上传的模板包，只读取其中 schema.xml 校验结构，其余跳过。
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
- 路径名必须完全匹配 ZIP 内部路径（区分大小写），
getFromName('Config.json')在 ZIP 里存的是config.json就会返回false - 返回
false不代表文件不存在，也可能是内存不足或 ZIP 损坏；应配合$zip->status判断具体错误码 - 不要对返回内容直接
json_decode()，先检查是否为string类型，避免空值或false导致致命错误 - 若 ZIP 很大但只需读一个几 KB 的文件，比
extractTo()节省内存，因为不落地写磁盘
为什么不用 exec('unzip') 导入数据
PHP 8.3 环境下，exec('unzip') 表面看能绕过 ZipArchive 的限制，但实际引入更多不可控因素，不建议用于数据导入流程。
典型问题：解压后文件权限为 600 或属主变成 www-data，后续 PHP 读取失败；命令注入风险高，尤其当 $zipFile 来自用户输入却未严格过滤。
- 必须对所有变量做
escapeshellarg()，unzip -o $(escapeshellarg($zipFile)) -d $(escapeshellarg($targetDir))才算基本安全 -
unzip命令本身不校验 ZIP 完整性，损坏包可能静默解出部分文件，导致数据不一致 - PHP 8.3 默认禁用
exec系列函数（disable_functions=exec,passthru,shell_exec,system），线上环境常无法启用 - Windows 主机上
unzip命令不一定存在，而ZipArchive是跨平台一致的
导入前必须做的三件事
PHP 8.3 对 ZIP 处理更严格，很多过去能蒙混过关的操作现在会明确报错。导入压缩文件数据不是“打开→解压→完事”，中间缺一环都可能卡在生产环境。
- 确认
extension=zip已启用，且phpinfo()中能看到Zip模块版本 ≥ 1.22（PHP 8.3 自带） - 用
ZipArchive::getStatusString()替代模糊的if ($zip->open() !== TRUE)，它能告诉你到底是ZIPARCHIVE::ER_NOZIP还是ZIPARCHIVE::ER_INCONS - 对用户上传的 ZIP 文件，强制检查
finfo_file($finfo, $tmpFile)的 MIME 类型是否为application/zip，不能只信扩展名
ZipArchive 在处理含 Unicode 文件名（UTF-8 编码）的 ZIP 时，默认按 CP437 解码，可能导致 getNameIndex() 返回乱码路径——如果你靠文件名做路由或映射，得手动调用 iconv('CP437', 'UTF-8', $name) 转换。 
