tar归档必须正确设置Header.Name为Unix路径格式，使用filepath.ToSlash(filepath.Rel(srcDir, path))生成相对路径，且需严格校验解压路径防穿越、逆序关闭嵌套流、忽略Header.Size直接io.Copy。
tar.NewWriter写入前必须设Header.Name为Unix路径
Windows上用filepath.Walk遍历目录时，header.Name默认带\反斜杠，而POSIX tar标准只认/。不转会导致解压失败或路径错乱，尤其在Linux目标环境运行时。
正确做法是调用filepath.ToSlash(relPath)，且relPath必须由filepath.Rel(srcDir, path)计算得出——不能直接用path拼接，否则绝对路径会污染归档结构。
- 跳过
srcDir自身（即relPath == "."）避免写入空目录头 -
header.Name末尾不加/，即使对目录也由header.Typeflag标识，加斜杠反而被某些工具识别为软链 - 若需兼容BusyBox等旧工具，写入前设
tw.Format = tar.FormatGNU
解压时必须用filepath.Clean过滤header.Name防路径穿越
恶意.tar包里放../../../etc/passwd这种路径，tar.Reader原样返回，不做任何校验。直接os.Create(filepath.Join(dest, header.Name))等于把文件写到任意系统位置。
安全解法是先cleanName := filepath.Clean(header.Name)，再检查!strings.HasPrefix(cleanName, "../") && !filepath.IsAbs(cleanName)，但还不够——因为cleanName可能为../../foo，Clean后变成../foo，仍可逃逸。
立即学习“go语言免费学习笔记（深入）”；
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 真正可靠的判断是：
target := filepath.Join(dest, cleanName); if !strings.HasPrefix(target, filepath.Clean(dest)+string(os.PathSeparator)) -
dest末尾必须显式加filepath.Separator，比如"/tmp"要写成"/tmp/" - 跳过
header.Typeflag == tar.TypeSymlink || header.Typeflag == tar.TypeLink的条目，防止符号链接覆盖
tar.Writer和tar.Reader都依赖显式Close顺序
写tar时漏掉tw.Close()，生成的文件虽能被部分工具识别，但末尾缺少two zero blocks，导致tar -t报Unexpected EOF；读tar时没defer tr.Close()，后续复用io.Reader流会从错误偏移继续读。
关键点不在“是否调用”，而在“谁先关、谁后关”：写入流是os.File → gzip.Writer → tar.Writer三层嵌套，关闭必须逆序；读取流是os.File → gzip.Reader → tar.Reader，关闭也得逆序。
- 压缩场景：
tw.Close()→gw.Close()→f.Close()，顺序错一个，gzip流就截断 - 解压场景：
tr.Close()→gzr.Close()→f.Close()，但实际中tr没提供Close方法，所以只需关gzr和f - 所有
defer语句按LIFO执行，写代码时要把defer f.Close()放在最前，defer tw.Close()放最后
Header.Size不准时别信它，用io.Copy代替io.CopyN
有些打包工具（如老版本bsdtar）生成的tar包里header.Size是0或负数，用io.CopyN(dst, tr, header.Size)会panic或死循环。更糟的是，即使Size正确，实际读取字节数也可能因padding或块对齐差异而不同。
标准做法是忽略header.Size，直接io.Copy(dst, tr)——tar.Reader内部已处理块边界，遇到下一个header或EOF自然停止。
- 对目录类型（
header.Typeflag == tar.TypeDir），跳过io.Copy，只调用os.MkdirAll - 对普通文件，先
os.MkdirAll(filepath.Dir(target), 0755)建父目录，再os.Create，最后io.Copy - 不要用
header.Size做内存预分配，bytes.Buffer或io.Discard场景下更易出错
tar -xzf照样能解，但tar -tzf就卡住，这种延迟暴露的坑最难排查。 
