compress/gzip 适合单流数据压缩（如日志、配置），需调用 gzip.Writer.Close() 否则解压报 invalid header；archive/zip 用于多文件归档，二者覆盖全部需求，无需第三方库。

archive/zip 和 compress/gzip 是 Go 标准库中唯二需要的包，不需要“框架库”——引入第三方 zip 库反而容易放大路径安全、中文名、空目录等基础问题。

压缩单文件用 compress/gzip 最简单

适合日志、配置、API 响应体等单流数据，不是打包归档。

• gzip.Writer 必须调用 Close()，否则解压时会报 invalid header
• 小数据（bytes.Buffer；大文件务必流式处理，用 io.CopyBuffer 配合 64KB 缓冲区
• 写入磁盘前，建议套一层 bufio.Writer，避免 syscall 频繁触发
• 别传整数给 SetLevel()，用 gzip.BestSpeed 或 gzip.DefaultCompression

示例关键行：

gz := gzip.NewWriter(outputFile)
gz.SetLevel(gzip.DefaultCompression)
_, err = io.CopyBuffer(gz, inputFile, make([]byte, 64*1024))
gz.Close() // 这行不能少

打包多个文件必须用 archive/zip

不是“加个 loop 就行”，路径构造错会导致 ZIP 文件在 Windows/macOS 上静默失败或解压出错。

Golang Naming

Go（Golang）命名规范 — 包括包、构造函数、结构体、接口、常量、枚举、错误、布尔值、接收器、getter/setter、函数等。

下载

• header.Name 必须是相对路径，且开头不能有 / 或 ../；用 filepath.Rel(basePath, fullPath) 获取，再 filepath.Clean() 过滤逃逸
• 目录必须显式创建：header.Name += "/" 且 header.Method = 0（不压缩），否则解压端无法识别为空目录
• Go 1.22+ 中文名需调 header.SetUTF8(true)，否则 Linux 下正常、Windows 解压乱码
• 不要用 zip.FileInfoHeader(info) 直接设名——它默认用 info.Name()，对目录不带斜杠，也不处理路径

解压 ZIP 时最常踩的路径遍历坑

用户上传的 ZIP 若含 ../../../etc/passwd 这类路径，不校验会直接写到系统关键位置。

立即学习“go语言免费学习笔记（深入）”；

• 每个 file.Name 必须过 filepath.Clean()，再检查是否以 ".." 开头或含 "\0"
• 用 filepath.Join(destDir, cleanName) 拼目标路径，而不是字符串拼接
• 创建文件前，先 os.Stat() 检查目标是否落在 destDir 内部（可用 strings.HasPrefix(filepath.Abs(cleanPath), filepath.Abs(destDir))）
• 遇到 file.IsDir() 为 true 的条目，只 os.MkdirAll()，不 file.Open()

真正难的不是“怎么压”，而是“压完别人能不能正常解、解出来是不是你想要的结构、有没有被路径注入”。标准库足够用，但每一步的路径处理和编码控制都绕不开。