Flux Art先确认解到哪里，再检查有没有解齐
收到摄影师或供应商发来的商品素材 ZIP，不能只核对文件数量。还要确认解压操作不会把文件写到接收目录之外，或覆盖其他项目。Flux Art 可用于后续视觉制作；素材收件的路径与安全检查属于团队外部工作。本文提供防御性流程，不执行未知附件，也没有进行客户文件或解压软件的安全实测。
来源、内容用途和目标目录先写清
确认发送方、业务任务、文件用途与预期格式，再保存原包作为只读证据。选择专用的空接收位置，与正式源素材、网站目录、账号文件和其他客户项目分开。独立目录可以减少混入旧文件的机会，但它本身不是安全隔离机制；若解压器未正确限制路径，仍不能仅凭选了新目录就认定不会越界。未知来源附件先交负责人员核查。
包内名称不是可以直接执行的文件路径
Android 官方安全文档说明，解压时未验证条目名称可能造成路径穿越，进而覆盖目标范围外文件。这解释了为什么业务端看到普通图片后缀仍不能替解压器做安全保证。面向团队的要求应写成：只使用受维护、符合内部安全要求的工具；自动收件程序需由技术负责人验证输出路径始终处于批准范围。不要在运营电脑上用未知压缩包试验漏洞。
| 收件检查 | 应留下什么 | 异常时怎么办 |
|---|---|---|
| 包来源 | 发送方、任务和修订号 | 未知来源先核实 |
| 输出范围 | 批准目录与工具边界要求 | 不能确认则停止自动解压 |
| 条目路径 | 异常名称与实际工具提示 | 不靠删字符强行放行 |
| 条目类型 | 普通文件与特殊项处理策略 | 交技术负责人判定 |
| 资源规模 | 允许格式、数量和展开上限 | 超出约定转人工确认 |
异常路径保留原样记录，不擅自改名放行
遇到指向上级目录、系统位置或不符合约定结构的条目，保存名称和工具提示，停止该包的自动处理。不要为了方便把所有目录层级抹平，也不要只删除几个可疑字符后继续，因为不同条目可能因此落到同一文件名。原包不改，异常记录与补发要求关联修订号；路径含业务机密时只在受控记录中保留，不把全部名单公开贴到工单。
链接条目与普通图片分开处理
压缩格式和工具可能支持不同类型的条目，不能默认每一项都是普通文件。符号链接等特殊项是否允许，由具体收件程序和安全策略决定；只需要商品图片的交接通常没有必要自行启用特殊行为。技术实现还要考虑文件系统中已有链接及实际写入时的边界，单凭字符串看起来位于目录下不够。本文不提供一段简化代码冒充完整防护，也不教人绕过工具拒绝。
数量和展开大小也应有任务边界
收件流程事先约定本批素材规模、允许格式和资源上限，遇到异常庞大的展开内容或层层嵌套时转人工确认，不无限自动递归解包。具体上限按项目与环境设定，不能照抄一个通用数字。文件很多可能有正常原因，但应由发送方解释并给清单，而不是让接收者承担未知资源消耗。下表是假设检查字段，不是真实附件检测结果。
假设示例：摘要一致，路径仍不该写入
假设收到的 ZIP 与发送方提供的 SHA-256 完全一致，但其中一项路径不符合本次接收目录约定。一致性只能说明收到相同字节，不能证明内部条目都安全。正确状态是传输核对通过、解压安全待处理，而不是整包通过。请发送方提供仅含约定普通图片及说明的新包，保留新旧修订关系，再重新进入同一收件流程。
安全收件完成后才做业务验收
技术检查通过并不代表图片都正确。随后仍要对照批准交付清单核对文件集合，逐张检查 SKU、文案、分辨率和可读性。反过来，一张商品预览很好看也不能抵消路径异常。回执分开记录收到、受控解压、清单齐全和业务通过；尚未执行的项目标为未验证。若怀疑已经发生越界写入或覆盖，先停止后续处理并联系负责人员，不随意删除现场文件。
参考说明与视觉入口
路径风险背景于2026年10月26日核对 Android Developers：https://developer.android.com/privacy-and-security/risks/zip-path-traversal 。其中的具体实现上下文不能直接等同所有桌面解压软件。素材准备完成后可从 https://flux-art.net/zh/ai-ecommerce 开始制作。Flux Art 由 MORNING STAR INDUSTRY LIMITED 运营，是多模型 AI 视觉创作与生产平台，支持商业使用；本文不声明平台提供压缩包安全审计，输入素材权利和商品真实性仍各自核对。