前言 在日常的 Web 安全研究中，文件上传与解压功能一直是高危漏洞的温床。从 2018 年 Snyk 安全团队首次披露 Zip Slip 漏洞以来，这种利用压缩包内文件名的路径穿越缺陷，广泛存在于各类支持解压的 Web 应用、中间件乃至开发框架中。攻击者通过构造包含 ../ 序列的恶意压缩包，可以绕过应用的上传目录限制，将任意文件写入服务器的敏感位置（如系统配置、计划任务、启动项等），进而实现从“任意文件写入（Arbitrary File Write）”到“远程代码执行（RCE）”的致命跨越。 近期，笔者在对开源 HTTP 文件服务器 Gohttpserver 进行代码审计与安全测试时，完整复现了该漏洞的利用链路。Gohttpserver 是一款基于 Go 语言编写、广受好评的轻量级文件服务器，其内置的 --upload 功能极大地方便了日常的文件传输与共享。然而，正是因为其主打“轻量、