包归档路径穿越防护与文件白名单治理（tarball-提取）最佳实践

实现示例function norm(p: string): string { return p.replace(/\\/g,'/').replace(/\/+/g,'/') }

function allowedPath(p: string, allowRoots: string[]): boolean {

const n = norm(p)

if (n.includes('..')) return false

if (/^\//.test(n)) return false

return allowRoots.some(r => n.startsWith(r.endsWith('/') ? r : r + '/'))

}

type Entry = { path: string; data: Uint8Array }

function filter(entries: Entry[], allowRoots: string[], allowExts: Set<string>): Entry[] {

const out: Entry[] = []

for (const e of entries) {

if (!allowedPath(e.path, allowRoots)) continue

const ext = (e.path.split('.').pop() || '').toLowerCase()

if (!allowExts.has(ext)) continue

out.push(e)

}

return out

}

审计与CI门禁审计记录包含被拒绝路径与文件扩展；异常阻断并输出证据。允许目录与扩展清单需审批与版本化管理。