PHP请求网址返回压缩包怎解压_PHP解压响应法【处理】_网络技术

发布时间 - 2026-02-03 00:00:00 点击率：次

PHP cURL 返回 zip 二进制流需先完整接收并校验有效性（如检查 PK 头、HTTP 状态码、Content-Type），再通过临时文件或 php://memory 流解压；须过滤路径穿越风险，避免内存溢出应边下载边写磁盘。

不能直接用 unzip 命令或 ZipArchive::open() 打开 HTTP 响应体——它不是文件路径，而是内存中的原始字节流。必须先确保完整接收、校验有效性，再喂给解压逻辑。

用 curl_setopt($ch, CURLOPT_RETURNTRANSFER, true) 拿到完整响应体（string 类型），别漏掉这句，否则 curl_exec() 可能直接输出或返回 false
检查响应头：Content-Type 应为 application/zip 或 application/octet-stream，Content-Length 非零，且响应体长度与之匹配
用 file_put_contents('temp.zip', $response) 写入临时文件再解压最稳；若坚持内存操作，需用 fopen('php://memory', 'r+b') + stream_copy_to_stream() 构造可读流，再传给 ZipArchive::open()

常见于服务器返回了 HTTP 错误页（如 502、404 HTML）、重定向响应、或 gzip 压缩未解包——ZipArchive 不会自动解 gzip，也不识别 HTML。

先 echo bin2hex(substr($response, 0, 4))：合法 zip 开头是 504b0304（即 PK..），如果不是，说明根本不是 zip
检查 curl_getinfo($ch, CURLINFO_HTTP_CODE) 是否为 200；非 200 时 $response 很可能含错误 HTML
确认没开启 CURLOPT_ENCODING 自动解压：如果服务端返回 gzip，但 PHP 没配 curl_setopt($ch, CURLOPT_ENCODING, '')，响应体仍是 gzip 二进制，不是 zip

ZipArchive 默认不校验文件路径，攻击者构造含 ../ 的 zip 文件可写入任意位置，必须手动过滤。

遍历 ZipArchive::statIndex() 或用
ZipArchive::getNameIndex() 获取每个文件名
对每个文件名执行：realpath($targetDir . '/' . $filename)，再判断是否仍位于 $targetDir 下（用 strpos($realPath, $targetDir) === 0）
跳过含 ..、以 / 开头、或含 \0 的文件名；空文件名或仅含点的（., ..）也跳过

直接 file_get_contents() 或全量 curl_exec() 会把整个 zip 加载进内存，100MB+ 就容易崩。得边下载边解，或分块处理。

立即学习“PHP免费学习笔记（深入）”；

实际最难的不是解压动作本身，是判断响应体到底是不是 zip、有没有被中间层篡改、以及解压目标路径是否安全——这三个点漏一个，程序就可能静默失败或留下漏洞。