提取用户上传的档案而不暴露于 ZipBombs？

Question

我的问题很简单：如何确保（或阻止）用户上传解压后填满整个磁盘空间的存档（所谓的 ZipBomb）？我正在使用 PHP。

Answer 1

在提取存档之前，请使用 PHP Zip 库函数来确保提取后内容在总大小限制内。

例如：

$zip = zip_open('uploaded.zip');
$file = zip_read($zip);
$totalsize = 0;

while ($file) {
    $totalsize += zip_entry_filesize($file);
    $file = zip_read($zip); // read next file
}

zip_close($zip);

if ($totalsize > SIZE_LIMIT) {
    // not allowed!
}