[fit] fix: 修复Zip Slip安全漏洞并优化测试用例

[CodeCasterX]

🔗 相关问题 / Related Issue

• 这是一个微小的修改（如错别字），不需要 Issue / This is a trivial change (like typo fix) that doesn't need an issue

说明 / Note: 这是一个安全漏洞修复(Zip Slip - CVE),根据安全最佳实践,不需要提前创建公开Issue以避免漏洞被利用。

📋 变更类型 / Type of Change

• 🐛 Bug 修复 / Bug fix (non-breaking change which fixes an issue)
• 🔧 重构 / Refactoring (no functional changes)

📝 变更目的 / Purpose of the Change

修复 Unzip 类中存在的 Zip Slip 路径遍历漏洞(CWE-22),该漏洞由 GitHub CodeQL 安全扫描检测发现(Alert #14)。

漏洞危害:

• 攻击者可通过构造恶意ZIP文件,利用 .. 路径遍历或绝对路径,将文件写入到目标目录之外的任意位置
• 可能导致敏感文件被覆盖、系统配置被篡改或任意代码执行

修复方案:

• 使用 Java NIO Path API 进行安全的路径规范化
• 在使用ZIP条目名称前进行严格的安全检查
• 使用 Path.startsWith() 替代字符串比较,基于路径段验证

📋 主要变更 / Brief Changelog

安全修复

• 修复 Unzip.getTarget() 方法中的路径遍历漏洞
• 添加绝对路径检查,拒绝以 /、\ 或驱动器字母开头的路径
• 使用 Path.normalize() 规范化路径
• 使用 Path.startsWith() 验证解压路径在目标目录内

测试优化

• 重构测试用例,动态生成ZIP文件,避免提交二进制文件
• 统一测试目录到 src/test/resources/zip-slip-test/
• 添加自动清理机制,测试后删除临时文件
• 新增4个安全测试用例:
  • 多级父目录遍历攻击 (../../../../../../etc/passwd)
  • 绝对路径注入 (/tmp/unauthorized-file.txt)
  • 路径中间遍历 (subdir/../../../unauthorized.txt)
  • 安全嵌套路径正向测试

🧪 验证变更 / Verifying this Change

测试步骤 / Test Steps

1. 运行单元测试验证修复效果:

   mvn test -Dtest=UnZipTest

2. 验证恶意ZIP文件被正确拦截:

   # 测试会自动创建包含路径遍历的恶意ZIP,验证抛出SecurityException

3. 验证正常ZIP文件解压不受影响:

   # 测试包含安全路径的正向测试用例

测试覆盖 / Test Coverage

• 我已经添加了单元测试 / I have added unit tests
• 所有现有测试都通过 / All existing tests pass
• 我已经进行了手动测试 / I have performed manual testing

测试结果:

• ✅ 所有15个测试用例全部通过
• ✅ 新增4个安全测试用例覆盖多种攻击场景
• ✅ 现有功能不受影响,保持向后兼容

✅ 贡献者检查清单 / Contributor Checklist

基本要求 / Basic Requirements:

• 确保有 GitHub Issue 对应这个变更（微小变更如错别字除外）/ Make sure there is a Github issue filed for the change (trivial changes like typos excluded)
• 你的 Pull Request 只解决一个 Issue，没有包含其他不相关的变更 / Your PR addresses just this issue, without pulling in other changes - one PR resolves one issue
• PR 中的每个 commit 都有有意义的主题行和描述 / Each commit in the PR has a meaningful subject line and body

代码质量 / Code Quality:

• 我的代码遵循项目的代码规范 / My code follows the project's coding standards
• 我已经进行了自我代码审查 / I have performed a self-review of my code
• 我已经为复杂的代码添加了必要的注释 / I have commented my code, particularly in hard-to-understand areas

测试要求 / Testing Requirements:

• 我已经编写了必要的单元测试来验证逻辑正确性 / I have written necessary unit-tests to verify the logic correction
• 当存在跨模块依赖时，我尽量使用了 mock / I have used mocks when cross-module dependencies exist
• 基础检查通过：mvn -B clean package -Dmaven.test.skip=true / Basic checks pass
• 单元测试通过：mvn clean install / Unit tests pass

文档和兼容性 / Documentation and Compatibility:

• 我已经更新了相应的文档 / I have made corresponding changes to the documentation
• 如果有破坏性变更，我已经在 PR 描述中详细说明 / If there are breaking changes, I have documented them in detail
• 我已经考虑了向后兼容性 / I have considered backward compatibility

📋 附加信息 / Additional Notes

安全影响

• 严重性: 高 (High) - CodeQL标记为 error 级别
• CWE分类: CWE-22 (Improper Limitation of a Pathname to a Restricted Directory)
• 影响范围: 所有使用 Unzip 类解压ZIP文件的代码
• 修复后: 自动拒绝包含路径遍历的恶意ZIP文件

兼容性说明

• ✅ 完全向后兼容 - 不影响正常ZIP文件的解压功能
• ✅ 无破坏性变更 - API接口保持不变
• ✅ 现有代码无需修改 - 透明的安全加固

参考资料

• Snyk: Zip Slip Vulnerability
• OWASP: Path Traversal
• CWE-22: Improper Limitation of a Pathname

---

审查者注意事项 / Reviewer Notes:

1. 重点关注: Unzip.java 中 getTarget() 和 getActualTarget() 方法的路径验证逻辑
2. 测试验证: 运行 UnZipTest 确保所有安全测试用例通过
3. 安全性: 验证修复后能正确拦截各种路径遍历攻击
4. 兼容性: 验证现有功能不受影响