压缩包安全检查与解压工作台
在解压前完整检查压缩包内部结构、完整性、压缩比率、加密方式与展开风险。净化危险路径，仅提取所需文件，完全在浏览器内存中安全运行。
- 100% 浏览器本地运行，零服务器上传
- 支持 ZIP、ZIP64 及加密 ZIP 文件
- WinZip AES 与 ZipCrypto 本地解密与验证
- 解压前路径穿越与压缩包炸弹风险检查
- 安全选择性提取与生成干净 ZIP
拖放压缩包文件至此处，或浏览选择
支持格式：ZIP, ZIP64, 加密 ZIP (AES / ZipCrypto), TAR, GZ, TAR.GZ
Format Capability Matrix
Real in-browser execution capabilities without server upload.
| Format | Inspect | Extract | Encrypted | Clean / Write |
|---|---|---|---|---|
| ZIP (Standard) | ✅ Supported | ✅ Supported | ✅ AES / ZipCrypto | ✅ Repack / Clean |
| ZIP64 (>4GB / 65k entries) | ✅ Supported | ✅ Supported | ✅ Supported | ✅ Supported |
| TAR (POSIX ustar, PAX, GNU) | ✅ Supported | ✅ Supported | — | ✅ Convert to ZIP |
| GZIP / TAR.GZ | ✅ Supported | ✅ Supported | — | ✅ Convert to ZIP |
| 7z (7-Zip) | Detected | Unsupported (No WASM) | — | — |
| RAR (RAR4 / RAR5) | Detected | Unsupported (Proprietary) | — | — |
关于压缩包安全检查与解压工作台
Solasu 的「压缩包安全检查与解压工作台（Archive Inspector & Extractor Studio）」不仅是一个简单的在线解压工具。
它是一个基于不可信输入模型（Untrusted Input Model）构建的客户端安全检查工作台。在将未经信任的压缩文件传递给操作系统本地解压程序之前，先在浏览器中对文件目录、加密算法、压缩比率进行全面分析。
自动识别目录遍历逃逸、Windows保留设备名、ZIP炸弹、双重扩展名等安全隐患，并提供客观的观察结论、证据与局限性说明。
所有解析均在浏览器内存中完成，绝不向任何服务器上传文件，也不使用持久化存储。
解压前先检查：不可信输入安全模型
将压缩包内的所有文件名与头部信息视为不可信输入，不盲目调用自动解包引擎，避免触发潜在的恶意文件覆盖。
绝不下定论称‘100%安全’或‘无病毒’，也不提供主观评分。严格遵循‘观察结果（Observation）’、‘事实证据（Evidence）’、‘检测方法（Method）’与‘检测局限（Limitation）’四要素原则。
精准识别 ZipCrypto 与 WinZip AES 加密及密码验证
准确区分脆弱的传统 ZipCrypto 加密与现代高强度的 WinZip AES（128/192/256 位）加密。若检测到 ZipCrypto，将明确提示已知明文攻击的风险。
针对 WinZip AES 加密条目，在解密时严格校验末尾的 HMAC-SHA1 认证码（Authentication Code），防止因密码错误或密文篡改导致垃圾明文输出。
防御路径穿越（Zip Slip）、保留名称与 ZIP 炸弹
检测相对路径穿越（‘../’）、绝对根路径、Windows 保留设备名（CON、PRN、AUX、NUL、COM1-9、LPT1-9）及空字节控制符。
提取时自动将路径净化为安全相对路径并添加防重命名后缀（-2、-3），同时支持一键生成彻底剥离高危条目的‘净化 Clean ZIP’。
沙箱化安全预览与取证级十六进制视图
文本、Markdown、JSON、CSV 及代码文件采用无害文本形式渲染并设有 1MB 安全限额（绝不执行脚本）。SVG 矢量图经过严格净化，移除内嵌脚本与事件监听器。
二进制或未知文件可通过内置的 Hex 查看器，以 16 字节偏移、双十六进制码及 ASCII 对照列的形式安全查阅。
零上传隐私保证与多格式审计报告
文件解析完全在本地内存中运行，网络传输流量为零，且不写入 localStorage 或 Cookie。关闭页面后所有数据即刻销毁。
检测结果可导出为防原型链污染的 JSON、防公式注入的 CSV、Markdown 报告以及经过 PDF.js 引擎在线验真的正式 A4 PDF 报告。
常见问题 (FAQ)
上传的文件会传输到外部服务器吗？
不会。所有解压、分析与报告生成均在您设备的浏览器内存（JavaScript / WebAssembly）中运行，不会产生任何网络上传流量。
文件或密码会被保存在浏览器缓存（localStorage 或 Cookie）中吗？
不会。本工具严格禁止使用 localStorage、sessionStorage、IndexedDB、Cookie 或 OPFS 存储压缩包数据与密码。关闭标签页后所有内容即从内存中永久清除。
该工具是杀毒软件或恶意软件扫描器吗？
不是。本工具属于结构性安全检查与取证分析工具。它通过分析元数据、扩展名、压缩比及文件系统路径来发现异常，但不使用病毒特征库，也不保证文件完全没有病毒。
支持哪些压缩包格式？
支持标准 ZIP（.zip）、大文件 ZIP64、TAR（.tar，兼容 POSIX ustar、PAX 扩展头部及 GNU 长文件名）、GZIP（.gz）以及 TAR.GZ（.tar.gz / .tgz）。
是否支持 7-Zip（.7z）与 RAR（.rar）格式？
支持检测 7z 与 RAR 的文件头魔数，但暂不支持解压。为了避免第三方非官方解析器的潜在缺陷，工具会诚实提示该格式受限并推荐使用原生系统工具处理。
什么是路径穿越（Zip Slip）攻击？如何防护？
攻击者在压缩包内嵌入‘../../’等相对路径，使解压程序将文件释放到目标目录之外，从而覆盖系统重要文件。本工具会将此类路径标为高危并在提取时净化为安全文件名。
什么是 Windows 保留设备名（CON, PRN, AUX, NUL）？
在 Windows 系统中，CON、PRN、AUX、NUL、COM1-9、LPT1-9 代表物理硬件设备。尝试创建这些名称的文件会导致系统挂起或文件系统错误。本工具会自动捕获并重命名或排除这些项。
什么是 ZIP 炸弹（Decompression Bomb）？
ZIP 炸弹是指体积极小但展开后体积呈数百上千倍暴增的恶意文件，会迅速耗尽系统内存与硬盘空间。本工具在解压前通过头部参数计算膨胀比率，超出阈值时发出警告。
能否解开带密码保护的 ZIP 文件？
可以。支持为加密条目输入密码进行在线解密预览和提取。输入的密码仅保存在当次浏览会话的私有内存中，绝不上传或持久化。
ZipCrypto 与 WinZip AES 有何区别？
ZipCrypto 是老旧的传统加密算法，极易遭受已知明文攻击而被破解。WinZip AES 采用高强度的 AES 算法与 HMAC 认证码。本工具能明确区分二者并对 ZipCrypto 提出警示。
如果输入了错误密码会发生什么？
WinZip AES 会先校验尾部 HMAC 认证码，ZipCrypto 会验证解压校验和。若密码不匹配，解密流程立即中止并提示错误，绝不输出乱码或损坏的数据。
什么是‘净化 Clean ZIP’？
通过自动剥离路径穿越文件、绝对路径、Windows 保留名称文件及空字节异常文件后，重新打包生成的一份干净、安全的 ZIP 压缩包，附带完整的排除项审计日志。
重新打包（Repack）功能的作用是什么？
允许您将选定的文件或净化后的文件重新打包为新的 ZIP，并支持选择启用 WinZip AES-256 进行密码加密。系统会明确提示文件系统权限和特殊扩展属性已被标准化。
在线预览文件是否安全？脚本会被执行吗？
十分安全。HTML 和 JavaScript 文件仅以纯文本形式显示，绝不作为脚本执行。SVG 图片经过严格过滤并移除了所有交互事件和脚本。单文件预览大小上限为 1MB。
什么是香农熵（Shannon Entropy）？有何用途？
香农熵以 0 至 8 比特/字节的度量表示数据的随机程度。未压缩的纯文本通常低于 5 比特，而高压缩或加密数据的熵值接近 8.0 比特，有助于客观判断文件是否经过加密或混淆。
重复文件检测是如何工作的？
通过计算并对比各条目的哈希值（CRC32 及 SHA-256），找出内容完全一致但路径不同的文件，帮助您识别归档中冗余占用的空间。
Unicode 编码及大小写冲突是什么？
macOS 采用 NFD 格式，Windows/Linux 采用 NFC 格式，同时部分系统不区分大小写。这可能导致解压时意外互相覆盖。本工具会预先发现此类冲突并追加序号后缀予以保护。
工具支持多大的文件？
为保证浏览器平稳运行，单文件输入上限为 500MB，解压展开后总容量上限为 2GB，压缩包内文件总数上限为 100,000 个。
支持导出哪些格式的审计报告？
支持导出防原型链污染的 JSON 格式、防公式注入的 CSV 格式、便于阅读的 Markdown 格式，以及符合 A4 规格的正式 PDF 报告。
PDF 报告上的‘PDF.js 验证通过’是什么意思？
生成 PDF 文档后，工具会在浏览器内立即调用 PDF.js 引擎对其进行语法解析、页数校验与文本层读取测试，确保导出的文件完好无损、能够被任意 PDF 阅读器顺利打开。
使用该工具需要付费或注册账号吗？
完全不需要。本工具永久免费提供，无任何注册、登录或订阅限制，欢迎个人与商业用途自由使用。