Define ZIP central directory preflight task (T-612)

2026-07-18 15:29:39 +08:00
parent 320b83d929
commit 65ff7a3f23
4 changed files with 79 additions and 7 deletions
@@ -42,11 +42,12 @@

 #### Phase 1 交叉审核加固

-Phase 1 安全整改按 `docs/review/phase1-security-review.md` 的交叉复核定稿顺序串行落成。T-605 关闭前不恢复 T-302;后续中央目录、断电耐久和签名向量任务在前一整改完成并提交后再正式编号。
+Phase 1 安全整改按 `docs/review/phase1-security-review.md` 的交叉复核定稿顺序串行落成。T-605 与 T-612 关闭前不恢复 T-302;后续断电耐久和签名向量任务在前一整改完成并提交后再正式编号。

 | ID | 任务 | 依赖 | 验收要点 |
 | --- | --- | --- | --- |
 | T-605 | 统一 Windows 安全路径校验并封堵 ZIP 逃逸 | T-102, T-201, T-202, T-604 | Catalog/ZIP/installed-app 共用逐段 Windows 安全相对路径策略;拒绝尾随空格/点与 DOS 设备名;输出路径增加 destination 包含性兜底;原生 Windows 用例证明不写出 staging |
+| T-612 | 在 ZIP 打开前限制包大小与中央目录元数据 | T-605 | 已验签 Catalog size、已完成普通下载文件长度与同句柄 EOCD/ZIP64 预扫描一致;在 `zip.NewReader` 前限制原始包、中央目录与声明条目数 |

 ### Phase 2 · 清单与软件列表