如何配置Tika ZIP解析器，限制仅含特定MIME类型文件且禁止嵌套容器？

答案是肯定的，你可以利用Tika的安全解析配置结合自定义解析器过滤器来实现需求，这种方式比手动校验更可靠，能从解析层面直接控制解压行为，有效防范Zip炸弹。

一、先配置Tika安全参数（防Zip炸弹核心） #

Tika内置了解压大小、嵌套深度等安全限制，先通过TikaConfig配置这些参数，从根源避免Zip炸弹的威胁：

import org.apache.tika.config.TikaConfig;
import org.apache.tika.parser.AutoDetectParser;
import org.apache.tika.parser.Parser;
import java.util.Properties;

// 构建安全配置参数
Properties tikaProps = new Properties();
// 限制最大解压总字节数（示例为100MB）
tikaProps.setProperty("tika.parser.zip.maxExtractSize", String.valueOf(100 * 1024 * 1024));
// 限制最大嵌套深度（只允许顶层Zip，不允许嵌套容器）
tikaProps.setProperty("tika.parser.zip.maxDepth", "0");
// 统一限制所有容器格式的嵌套深度
tikaProps.setProperty("tika.parser.container.maxDepth", "0");

// 初始化带安全配置的TikaConfig
TikaConfig safeTikaConfig = new TikaConfig(tikaProps);
// 用安全配置初始化AutoDetectParser
AutoDetectParser safeAutoDetectParser = new AutoDetectParser(safeTikaConfig);

二、自定义解析器过滤器（限制特定MIME类型） #

写一个自定义Parser，包装上面的安全解析器，在解析每个嵌入文件时校验MIME类型，不符合则直接中断解析：

import org.apache.tika.metadata.Metadata;
import org.apache.tika.mime.MediaType;
import org.apache.tika.parser.ParseContext;
import org.apache.tika.parser.Parser;
import org.xml.sax.ContentHandler;
import org.xml.sax.SAXException;
import java.io.IOException;
import java.io.InputStream;

public class RestrictedMimeTypeParser implements Parser {
    private final Parser delegate;
    private final MediaType allowedMediaType;

    public RestrictedMimeTypeParser(Parser delegate, MediaType allowedMediaType) {
        this.delegate = delegate;
        this.allowedMediaType = allowedMediaType;
    }

    @Override
    public void parse(InputStream stream, ContentHandler handler, Metadata metadata, ParseContext context)
            throws IOException, SAXException {
        // 校验当前文件的MIME类型
        String contentType = metadata.get(Metadata.CONTENT_TYPE);
        if (contentType != null) {
            MediaType mediaType = MediaType.parse(contentType);
            // 排除顶层Zip（仅校验Zip内的文件）
            if (!MediaType.APPLICATION_ZIP.equals(mediaType) && !allowedMediaType.equals(mediaType)) {
                throw new IOException("不允许的文件类型: " + mediaType);
            }
        }
        // 调用委托解析器继续处理
        delegate.parse(stream, handler, metadata, context);
    }

    @Override
    public MediaType getSupportedTypes(ParseContext context) {
        return delegate.getSupportedTypes(context);
    }
}

三、整合到你的递归解析流程中 #

替换原来的AutoDetectParser为带安全配置和类型过滤的解析器：

import org.apache.tika.parser.RecursiveParserWrapper;
import org.apache.tika.sax.RecursiveParserWrapperHandler;
import org.apache.tika.sax.BasicContentHandlerFactory;

// 初始化自定义过滤解析器
Parser restrictedParser = new RestrictedMimeTypeParser(safeAutoDetectParser, MediaType.text("turtle"));

// 构建递归解析流程
final ParseContext context = new ParseContext();
final BasicContentHandlerFactory contentHandlerFactory = 
    new BasicContentHandlerFactory(BasicContentHandlerFactory.HANDLER_TYPE.TEXT, -1);
final RecursiveParserWrapperHandler recursiveHandler = 
    new RecursiveParserWrapperHandler(contentHandlerFactory);
final RecursiveParserWrapper parser = new RecursiveParserWrapper(restrictedParser);

context.set(Parser.class, parser);
// 解析时如果遇到不符合的文件或嵌套容器，会直接抛出异常
parser.parse(tikaInputStream, recursiveHandler, metadata, context);

优势对比手动校验 #

1. 防Zip炸弹更可靠：Tika的安全配置会在解压过程中实时监控大小和深度，不会将恶意Zip的全部内容解压到内存/磁盘，避免资源耗尽。
2. 流程集成更高效：类型校验嵌入到解析流程中，无需手动遍历所有文件元数据，减少冗余代码。
3. 覆盖更全面：自动处理所有容器类型的嵌套限制，不会遗漏其他可能的嵌套格式（如Jar、Docx等容器）。

内容的提问来源于stack exchange，提问作者MelleD