ZIP 打包与安全检查

本地打包 zip、体检 zip 的恶意条目与压缩炸弹风险，以及单文件 gzip 压缩解压，文件不上传。

• 全部处理在浏览器本地完成，文件不会上传到服务器：即使压缩包带毒，也不会经过服务端
• 打包最多 500 个文件、总计上限 512 MB；同名文件会自动加 -2 后缀而不是互相覆盖
• 检查只读取 zip 的中央目录，不解压任何条目，会按高危/注意分级报告路径穿越、符号链接、加密条目、可执行与双扩展名伪装、方向覆写字符、嵌套压缩包与压缩炸弹
• 体积与压缩比来自压缩包自己声明的元数据，未经解压验证，可被构造伪造
• 浏览器原生压缩接口不提供 1-9 级别参数，因此 zip 只区分「压缩」与「仅存储」，gzip 使用默认强度
• gzip 解压流式累计，输出超过 200 MB 立即中止