返回今日热点: PHP 更新 Windows 网络工具,修复可让攻击者运行代码的漏洞
Poly 榜单 · 来自今日热点

数据压缩算法:2026年十大网络编解码器

Zstandard的解压速度是Brotli的3.6倍(1,550对425 MB/s),压缩率仅相差0.4%;而2026年10月,出现远程越界写入漏洞、评分为9.8的是Brotli的解码器。

  • 第1名:Zstandard (zstd)
  • 10 个名次

01最终榜单

领先的 AI 各自独立编制了十项榜单。这里是一份便于核对的汇总:每个名次都有理由、来源,以及列入它的 AI。

排序依据:按 AI 认同度从高到低。

亮色标签表示该 AI 把这一项列入了自己的榜单,暗色标签表示没有。

  1. 1

    Zstandard (zstd)

    解码速度为1,550 MB/s,Brotli为425,压缩率几乎相同(2.896对2.883)。它为数不多的CVE都出在命令行工具上,而非解码器。在网页资源上Brotli仍然胜出,3.08对2.86。

    已列入: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. 未列入: ChatGPT, Wenxin.

    在各自榜单中的名次: Meta: 查看列表 · Grok: 查看列表 · Gemini: 查看列表 · Nova: 1 · StepFun: 查看列表 · Kimi: 查看列表 · DeepSeek: 查看列表 · Qwen: 查看列表

    每个 AI 的看法 8
    • Meta

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Grok

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Gemini

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Nova第 1 名

      解压速度 200–400 MB/s,压缩比 2.5–3.5 倍,但其 2026 年的流验证缺陷提高了拒绝服务风险。

      来源 ↗
    • StepFun

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Kimi

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • DeepSeek

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Qwen

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    8 个 AI 列入此名次
  2. 2

    gzip / DEFLATE (zlib)

    仍在压缩60%的网络JavaScript,Brotli为29%。解码速度为390 MB/s,压缩率为2.743,其zlib解码器带有19个CVE,包括评分为9.8的CVE-2022-37434。

    已列入: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. 未列入: ChatGPT, Wenxin.

    在各自榜单中的名次: Meta: 2 · Grok: 2 · Gemini: 2 · Nova: 3 · StepFun: 2 · Kimi: 2 · DeepSeek: 2 · Qwen: 1

    每个 AI 的看法 8
    • Meta第 2 名

      82% 的网站通过 zlib 提供 gzip——用于 PHP、Python gzip、Node zlib、Ruby Zlib 以及每个 Nginx 版本——CVE-2022-37434:通过超大 gzip 头部额外字段造成的堆溢出

    • Grok第 2 名

      几乎所有语言运行时和 Web 服务器都链接了它;尽管经过数十年审计,仍不断出现一些严重堆溢出(包括 2022 年和 2026 年的)。

    • Gemini第 2 名

      同时静默链接进 Node.js、Python 和 PHP 运行时,使 47.1% 的 HTTP 服务器响应依赖于一个 30 年前的内存模型。

    • Nova第 3 名

      网络最初的压缩器,仍承担 80% 的 HTTP 流量,压缩比 1.5–2 倍,但长期受 zlib 历史缺陷困扰。

      来源 ↗
    • StepFun第 2 名

      19 个 CVE,还有一个 inflate() 堆溢出,一直潜伏在默认的 HTTP gzip 路径中,直到 1.2.12 版。

    • Kimi第 2 名

      被捆绑进 PHP、Node、Python 和 curl,甚至链接在 OpenSSL 自身之中;它最严重的 inflate() 缺陷评分为 9.8。

    • DeepSeek第 2 名

      2002 年以来 19 个 CVE,其中 9 个有公开利用程序,还有 inflate 中一个 CVSS 9.8 堆溢出——它是 gzip、PNG 和无数 HTTP 技术栈背后的解压器。

    • Qwen第 1 名

      互联网的“隐形肺”,压缩 90% 的网络流量,同时每隔几年就悄悄出现一次内存损坏 CVE。

      来源 ↗
    8 个 AI 列入此名次
  3. 3

    LZ4

    解码速度最快,达3,850 MB/s,但压缩率只有2.101,这意味着体积比zstd的更大。有些AI称它零CVE,但CVE-2021-3520确实是一个导致内存损坏的整数溢出。

    已列入: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. 未列入: ChatGPT, Wenxin.

    在各自榜单中的名次: Meta: 查看列表 · Grok: 查看列表 · Gemini: 查看列表 · Nova: 4 · StepFun: 查看列表 · Kimi: 查看列表 · DeepSeek: 查看列表 · Qwen: 查看列表

    每个 AI 的看法 8
    • Meta

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Grok

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Gemini

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Nova第 4 名

      解压速度最快,超过 500 MB/s,但压缩比只有 1.5–2 倍;它的简单性避免了 Brotli/Zstd 中出现的复杂漏洞。

      来源 ↗
    • StepFun

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Kimi

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • DeepSeek

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Qwen

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    8 个 AI 列入此名次
  4. 4

    Brotli

    网页文本上压缩得最紧:在Cloudflare的资源上为3.08:1,gzip为2.56,在11级时体积小19%。代价是CVE-2026-111497,一个越界写入漏洞,评分为9.8,涉及1.0.3至1.2.0各版本。

    已列入: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. 未列入: ChatGPT, Wenxin.

    在各自榜单中的名次: Meta: 7 · Grok: 5 · Gemini: 9 · Nova: 2 · StepFun: 7 · Kimi: 9 · DeepSeek: 查看列表 · Qwen: 查看列表

    每个 AI 的看法 8
    • Meta第 7 名

      内置于 Node zlib、Bun、Python brotli 以及 PHP 8.2–8.5 的 Windows 版本中的 C 解码器——CVE-2026-111497:Node2Shell/HTTP2Shell 远程代码执行,波及所有生态

      来源 ↗
    • Grok第 5 名

      正是这个库,在 2026 年 10 月 26 日迫使 Windows 上的 PHP 紧急重新构建;一个严重的解码器越界写入波及了 Node、Python、.NET 和 PHP。

      来源 ↗
    • Gemini第 9 名

      原生打包进 PHP 和 Node.js,用于快速流解码;2026 年 10 月的一个越界写入,迫使多个版本的二进制文件紧急重建。

      来源 ↗
    • Nova第 2 名

      谷歌的 4–5 倍压缩比压缩器,用于 PHP 8.2+,但 CVE-2026-111497 让解压变成了远程代码执行的途径。

    • StepFun第 7 名

      这份清单上最新的条目,也是唯一一个在 Node.js、Bun、PHP 和 Python 所捆绑的解码器中同时出现远程代码执行漏洞的。

    • Kimi第 9 名

      这里最年轻的库,却已经有一个未经认证即可触发的远程代码执行漏洞——正是“入口解压”模式,与上下文故事中的情形一模一样。

    • DeepSeek

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Qwen

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    8 个 AI 列入此名次
  5. 5

    Snappy

    解码速度为1,500 MB/s,压缩率为2.089,完全不使用霍夫曼编码。它已知的CVE(CVE-2023-43642)位于snappy-java封装层,而非C++核心。

    已列入: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. 未列入: ChatGPT, Nova.

    在各自榜单中的名次: Meta: 查看列表 · Grok: 查看列表 · Gemini: 查看列表 · StepFun: 查看列表 · Kimi: 查看列表 · DeepSeek: 查看列表 · Wenxin: 查看列表 · Qwen: 查看列表

    每个 AI 的看法 8
    • Meta

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Grok

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Gemini

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • StepFun

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Kimi

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • DeepSeek

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Wenxin

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Qwen

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    8 个 AI 列入此名次
  6. 6

    XZ / LZMA

    压缩率在此最高(内核SquashFS测试中为3.43),但解码速度仅35 MB/s。其最严重的CVE,即评分10.0的CVE-2024-3094,是被植入的后门,而非解析漏洞。

    已列入: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. 未列入: ChatGPT, Nova.

    在各自榜单中的名次: Meta: 查看列表 · Grok: 查看列表 · Gemini: 查看列表 · StepFun: 查看列表 · Kimi: 查看列表 · DeepSeek: 查看列表 · Wenxin: 查看列表 · Qwen: 查看列表

    每个 AI 的看法 8
    • Meta

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Grok

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Gemini

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • StepFun

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Kimi

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • DeepSeek

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Wenxin

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Qwen

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    8 个 AI 列入此名次
  7. 7

    bzip2

    视测试而定,解码速度为34–90 MB/s,对于实时HTTP来说太慢。其2019年的越界写入(CVE-2019-12900)在NVD处评为9.8分,在红帽公司处评为4.4分。

    已列入: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. 未列入: ChatGPT, Nova.

    在各自榜单中的名次: Meta: 查看列表 · Grok: 查看列表 · Gemini: 查看列表 · StepFun: 查看列表 · Kimi: 查看列表 · DeepSeek: 查看列表 · Wenxin: 查看列表 · Qwen: 查看列表

    每个 AI 的看法 8
    • Meta

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Grok

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Gemini

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • StepFun

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Kimi

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • DeepSeek

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Wenxin

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Qwen

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    8 个 AI 列入此名次
  8. 8

    LZO

    为实时解码而设计:在SquashFS测试中为217 MB/s,压缩率2.64,别处则声称达780 MB/s。其2014年的整数溢出(CVE-2014-4607)表明,早期高速C代码老化得有多严重。

    已列入: Meta, Grok, Gemini, StepFun, DeepSeek. 未列入: ChatGPT, Nova, Kimi, Wenxin, Qwen.

    在各自榜单中的名次: Meta: 查看列表 · Grok: 查看列表 · Gemini: 查看列表 · StepFun: 查看列表 · DeepSeek: 查看列表

    每个 AI 的看法 5
    • Meta

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Grok

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Gemini

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • StepFun

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • DeepSeek

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    5 个 AI 列入此名次
  9. 9

    Zopfli

    使DEFLATE输出体积缩小3–8%,压缩耗时约为81至100倍。它不增加解码器的攻击面,因为任何gzip客户端都能读取其输出。

    已列入: StepFun, Kimi, Qwen. 未列入: ChatGPT, Meta, Grok, Gemini, Nova, DeepSeek, Wenxin.

    在各自榜单中的名次: StepFun: 查看列表 · Kimi: 查看列表 · Qwen: 查看列表

    每个 AI 的看法 3
    • StepFun

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Kimi

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Qwen

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    3 个 AI 列入此名次
  10. 10

    LZW (Unix compress)

    Unix compress和GIF背后的20世纪80年代字典编码器。其专利于2003年6月20日到期,而且浏览器从未原生解码它,因此今天它带不来任何网络收益。

    已列入: Meta, Kimi. 未列入: ChatGPT, Grok, Gemini, Nova, StepFun, DeepSeek, Wenxin, Qwen.

    在各自榜单中的名次: Meta: 查看列表 · Kimi: 查看列表

    每个 AI 的看法 2
    • Meta

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    • Kimi

      在它自己的列表中名称不同:请打开完整列表。

      查看列表
    2 个 AI 列入此名次

前三名详解 ↓

02前三名详解

榜单在上方。这里进一步介绍排名前三的对象:它们是什么、为什么上榜、有哪些值得了解的事。

三者的排名综合了压缩比、解码速度和解码器漏洞,因此速度本身并不决定顺序:LZ4 解码最快,却排第三。速度和压缩比来自同一套 Silesia 测试,而网络份额的数字(60% 对 29%)衡量的是另一类东西

1Zstandard (zstd)

第 1 名 — Zstandard (zstd). 10 个 AI 中有 8 个将其列入榜单;在其中的中位名次:1. 解码速度约为 Brotli 的 3.6 倍,压缩比几乎相同,它的少数漏洞都不在解码器里。

你知道吗

  • 2018 年,Canonical 在 Ubuntu 的 .deb 软件包上测试了 zstd 的 19 级。解压速度远快于 xz,但软件包大了约 6%。Arch Linux 后来表示,改用 zstd 后解压速度快了 14 倍,体积仅增加 0.8%。

它是什么
由 Facebook(Meta)于 2016 年发布的快速压缩工具。
它的优势
解码速度是 Brotli 的 3.6 倍,压缩比几乎相同。
适合谁
适合既要速度又要小文件的服务器;在浏览器或 CDN 缺乏支持的地方则较弱。
  • 解码速度与压缩比解码 1,550 MB/s,压缩比 2.896

维基百科 · Wikidata

为什么上榜
  • 在 Silesia 语料库的官方 lzbench 测试中,zstd 1.5.7 的解压速度为 1550 MB/s。Brotli 1.1.0 为 425 MB/s,zlib 为 390 MB/s。大约是 Brotli 的 3.6 倍。

  • 同一张表中 zstd 的压缩比最高:2.896。Brotli 为 2.883,zlib 为 2.743,LZ4 为 2.101,Snappy 为 2.089。其压缩速度为 510 MB/s,而 Brotli 为 290,zlib 为 105。

你知道吗
  • Zstandard 可以低于 1 级。其级别从最快的负 7 一直到压缩最强但压缩最慢的 22。因此同一个工具既能做快速轻量的压缩,也能做极高强度的压缩。

历史
  • 2016 年,Facebook(现为 Meta)以 BSD 许可证发布了 Zstandard 1.0。它的设计目标是比 Deflate 更快。Deflate 是 zip 和 gzip 背后的方法,二十年来一直在速度与体积之间保持着良好的平衡。

需要注意
  • 对于只保存一次、却会被多次提供的文件,在一项测试中,Brotli 的 11 级仍生成了最小的文件。不过,zstd 的 19 级压缩速度快了约四倍。

  • 浏览器支持则较新。Chrome 在 123 版本(2024 年)加入了 zstd。在 Chromium 的讨论中,Firefox 的引擎(Gecko)尚未给出任何信号,许多 CDN 跟进得也很慢。

人们怎么说
  • Brotli appears to outperform zStandard in both compression ratio and compression time up until level 9 for this response. — Paul Calvano

进一步了解
  • 打开 README,跳到 Benchmarks 标题。将 zstd 的各行与 Brotli、zlib 和 LZ4 的各行对比,并留意 zstd 的解码速度与其压缩比之间的关系。

比较前三名 ↓

2gzip / DEFLATE (zlib)

第 2 名 — gzip / DEFLATE (zlib). 10 个 AI 中有 8 个将其列入榜单;在其中的中位名次:2. 至今仍是压缩网页 JavaScript 最多的方法,处处可用,但三者中解码最慢,还有一个严重的解码器漏洞。

你知道吗

  • 马克·阿德勒编写了 zlib 的解压代码,压缩部分由让-卢普·盖利编写。阿德勒还参与了美国国家航空航天局的火星探测漫游车任务,主持了一项研究,该概念后来被选中用于 2003 年的任务。

它是什么
经典的 gzip 方法,几乎内置于每一种编程语言和网络服务器。
它的优势
使用最广:它压缩了 60% 的网页 JavaScript,Brotli 只压缩了 29%。
适合谁
适合必须处处可用的旧系统;若追求速度或小文件,则是个糟糕的选择。
  • 解码速度与压缩比解码 390 MB/s,压缩比 2.743

维基百科 · Wikidata

为什么上榜
  • zlib 1.3.1 在官方 Silesia 测试中是三者中最慢、也最弱的。解压速度为 390 MB/s,而 zstd 为 1550。压缩速度为 105 MB/s,压缩比为 2.743。

  • zlib 的解码器(inflate)存在严重漏洞 CVE-2022-37434,影响至 1.2.12 版本的 zlib。gzip 头部的一个大字段可能导致缓冲区溢出。该漏洞被评为 9.8(严重),且只有调用 inflateGetHeader 的程序受影响。

历史
  • zlib 的首个公开版本 0.9 发布于 1995 年 5 月 1 日。它最初是为 libpng 图像库而写的,由让-卢普·盖利和马克·阿德勒共同编写。

Qwen 把它排在第一。它们看到了什么
  • Qwen: 互联网的“隐形肺”,压缩 90% 的网络流量,同时每隔几年就悄悄出现一次内存损坏 CVE。

比较前三名 ↓

3LZ4

第 3 名 — LZ4. 10 个 AI 中有 8 个将其列入榜单;在其中的中位名次:4. 迄今最快的解码器,但压缩比低意味着文件更大,而且存在一个真实的解码器漏洞。

你知道吗

  • 自 3.11 版本起,LZ4 就被内置于 Linux 内核中。FreeBSD、Illumos、Linux 上的 ZFS 以及 ZFS-OSX 也在其 ZFS 文件系统中使用它进行实时压缩。

它是什么
一个为速度而设计的极简压缩器,发布于 2011 年。
它的优势
解码速度为 3,850 MB/s,约为 zstd 的 2.5 倍。
适合谁
适合速度比体积更重要的场景;不适合通过网络传输文件。
  • 解码速度与压缩比解码 3,850 MB/s,压缩比 2.101

维基百科 · Wikidata

为什么上榜
  • LZ4 1.10.0 的解压速度为 3850 MB/s,是官方 Silesia 测试中最快的,约为 zstd 的 1550 MB/s 的 2.5 倍。代价是压缩比为 2.101,而 zstd 为 2.896,因此文件会更大。

  • LZ4 确实存在解码缺陷 CVE-2021-3520。一个精心构造的文件可导致整数溢出和越界写入。NVD 评分为 9.8,红帽公司评为 8.6。

    来源 ↗ ✓ 多个 AI 共同确认
你知道吗
  • 与使用霍夫曼编码的 DEFLATE 不同,LZ4 没有熵编码步骤。每段数据都以一个字节的令牌开头,该令牌分为两个 4 位的部分,分别表示字面量数量和匹配长度。

历史
  • 2011 年,在谷歌开源了类似的快速压缩器 Snappy 仅一两周后,扬·科莱发布了 LZ4。此后 LZ4 在速度上超过了 Snappy。

人们怎么说
  • I could only see an `acceleration` value to tune in the `lz4.h` file, which would allow me to make LZ4 even faster — ahf

进一步了解
  • 打开 README 的 Benchmarks 标题。先看 LZ4 解码最快,再看它的压缩比。较小的压缩比就是它的取舍:通过网络发送的文件会更大。

比较前三名 ↓

前三名对比

Zstandard (zstd)gzip / DEFLATE (zlib)LZ4
进入 AI 榜单8 / 108 / 108 / 10
解码速度与压缩比解码 1,550 MB/s,压缩比 2.896解码 390 MB/s,压缩比 2.743解码 3,850 MB/s,压缩比 2.101
排第一的 AINovaQwen—

AI 数量相同的名次,按其在各 AI 榜单中的平均名次排序。

03值得了解

AI 在编制榜单时注意到的内容。

zstd与Brotli的压缩率差距取决于语料:在Silesia上为0.4%(2.896对2.883),但在Cloudflare的网页资源上为7%(2.86对3.08),后者得益于Brotli内置的网页字典。

提及者:
已列入: Meta, Grok, StepFun, DeepSeek. 未列入: ChatGPT, Gemini, Nova, Kimi, Wenxin, Qwen.
来源 ↗

在enwik8上,Brotli从1级提高到11级,压缩率由2.53升至3.88,而压缩速度则由111.72 MB/s降至0.35 MB/s。

提及者:
已列入: ChatGPT. 未列入: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen.
来源 ↗

CVE-2026-111497影响了所有平台上从1.0.3到1.2.0的每个Brotli版本。它通过Node.js、Bun、PHP和Python软件包中捆绑的副本进入了运行环境。

提及者:
已列入: Meta, Grok, StepFun, Kimi. 未列入: ChatGPT, Gemini, Nova, DeepSeek, Wenxin, Qwen.
来源 ↗

各项测试的MB/s数字互不一致:zstd的表格显示zstd对Brotli为1,550对425 MB/s,而zstd的维护者报告的网页数据约为700对500 MB/s。

提及者:
已列入: Meta, StepFun, DeepSeek. 未列入: ChatGPT, Grok, Gemini, Nova, Kimi, Wenxin, Qwen.
来源 ↗

04大家常问的问题

什么是压缩算法?

一种通过去除冗余、用更少比特存储数据的方法。zstd等无损编解码器能将Silesia测试语料按2.896的压缩比缩小,并能完全还原。

来源 ↗
压缩算法是如何工作的?

它们先用反向引用(LZ77)替换重复的字符串,再用霍夫曼编码或FSE对结果进行熵编码。Brotli还内置了一个约120 KB的字典,收录常见的网页片段。

最强的压缩算法是什么?

就压缩率而言,在最高设置下是LZMA/xz和Brotli。Brotli 11级在enwik8上达到3.88:1,但压缩速度仅为0.35 MB/s。

压缩基准测试为什么结果不一?

结果会随语料、压缩级别和机器而变化。同样是zstd对Brotli的解码组合,一项测试中为1,550对425 MB/s,另一项中约为700对500 MB/s。

来源 ↗

05我们如何统计

用大白话讲,不用公式。

1问题

按网络效率与内存攻击面排名的十大网络数据压缩算法

2适用范围

全球网络标准与网络协议工程

3考量标准

  • 相对于原始HTTP载荷,解压速度与传输载荷的减少量
  • 参考C解码器中的结构解析复杂度与历史漏洞密度
  • Zstandard官方基准测试(lzbench、Silesia语料、i7-9700K)——zstd、Brotli、zlib、LZ4和Snappy的压缩率以及压缩/解压速度(MB/s)
  • Cloudflare网页资源测试(经由OpenReplay)——真实网页资源上的平均压缩率:gzip 2.56、zstd 2.86、Brotli 3.08
  • HTTP Archive《Web Almanac 2024》——哪种编解码器实际压缩了抓取到的网页响应
  • 美国国家标准与技术研究院NVD / OpenCVE——各编解码器参考C解码器中的内存损坏和拒绝服务(DoS)CVE

4谁来排名

领先的 AI:ChatGPT, Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen。每个 AI 独立编制自己的十项榜单,并为每个名次注明来源。

5名次如何确定

不同 AI 以不同说法写出的同一项被视为一项。把某项列入榜单的 AI 越多、排得越靠前,它的名次就越高。“AI 共识”表示有多少个 AI 在自己的榜单中列入了该项。来源仅限 AI 自己找到的,没有任何人工添加。

06各个 AI 的单独榜单

🇺🇸 ChatGPT10 个名次 · 3 条备注

同一个问题,仅由 ChatGPT 回答。上方的最终榜单综合了所有 AI。

  1. 1
    Brotli(br)

    网页导向的赢家有一个令人不安的注脚:一个畸形流暴露出一个被评为 CVSS 3.1 9.8 的解码器缺陷。

  2. 2
    Zstandard(zstd)

    一个较快的现代替代方案,在一项公开语料测试中可达到近 479 MiB/s 的解码速度,不过这并不是 HTTP 专属的保证。

  3. 3
    Gzip / DEFLATE

    兼容性冠军依然很有吸引力:在一项文本基准中,gzip -6 和 zstd 3 产出了相同的 1.48 MB 输出,但 zstd 压缩完成得更快。

  4. 4
    LZ4

    在一项混合语料测试中,LZ4 解码速度达到 742.106 MiB/s,说明当带宽节省不是首要考虑时,速度的吸引力所在。

    来源 ↗
  5. 5
    Snappy

    Snappy 优先解压速度和简单集成,而不是把每一个字节都压榨出来。

    来源 ↗
  6. 6
    Deflate(原始 DEFLATE 流)

    去掉 gzip 封装并不会改变底层的 DEFLATE 编码,但会改变帧格式约定和互操作性预期。

  7. 7
    LZMA / XZ

    压缩比可以非常好,但一项公开的文本测试显示,xz -6 压缩 10.07 MB 用了 1,771 毫秒。

  8. 8
    Bzip2

    它基于块排序的方式,在某些语料上能比 gzip 缩小体积,但在所引测试中,其解码速度比现代快速编解码器慢得多。

  9. 9
    LZHAM

    它出现在广泛的编解码器对比中,因而是一个有用的高压缩比参考点,但它并不是默认的 HTTP 内容编码选择。

    来源 ↗
  10. 10
    LZHAM / LZMA 系列高压缩模式

    在极端情况下,额外的压缩比往往要付出不成比例的编码时间和内存,因此对于对延迟敏感的网页响应,它是个糟糕的默认选择。

    来源 ↗

ChatGPT 注意到的内容

当 CPU 成本很重要时,Zstandard 和 LZ4 可能很有吸引力:所引的混合语料测试显示,zstd 的解压速度为 478.733 MiB/s,LZ4 为 742.106 MiB/s,但在该测试中 LZ4 的压缩比更差。

2026 年 10 月的 Brotli 事件提醒我们:编码器的压缩比,说明不了解码器能否安全地拒绝畸形输入。

仅凭 CVE 数量无法衡量解压算法的风险:单一的根因解码器缺陷,可能影响许多语言包;而拒绝服务问题和内存损坏问题的后果截然不同。

🇺🇸 Meta10 个名次

同一个问题,仅由 Meta 回答。上方的最终榜单综合了所有 AI。

  1. 1
    OpenSSL(libssl、libcrypto)

    内置于 Node.js、Python、PHP 8.x、.NET 8/9/10 —— 69.3% 的 PHP 网站仍在使用它;2026 年 9 月修补了 14 个漏洞,包括 CVE-2026-84782(CVSS 8.2,DTLS 堆信息泄露)

  2. 2
    zlib(libz)

    82% 的网站通过 zlib 提供 gzip——用于 PHP、Python gzip、Node zlib、Ruby Zlib 以及每个 Nginx 版本——CVE-2022-37434:通过超大 gzip 头部额外字段造成的堆溢出

  3. 3
    libcurl

    驱动 PHP cURL 与 CURLOPT_ENCODING 的自动解压,这正是引发 Brotli 远程代码执行的原因;Guzzle 默认设为“空字符串”——SBOM 扫描中有 33 个 CVE,审计发现其中 6 个为严重级别

    来源 ↗
  4. 4
    libxml2

    用于 PHP DOM、Python lxml 和 .NET 中的 XML 解析器——2.9.10 版在 cvedetails 上有 17 个漏洞,Ubuntu USN-7974-1 中有 4 个拒绝服务漏洞:CVE-2025-8732、CVE-2026-0989/0990/0992

  5. 5
    PCRE / PCRE2(libpcre)

    PHP preg_、Python re 和 Nginx 背后的正则引擎——CVE-2007-1660:通过多种字符类形式造成的缓冲区溢出;CVE-2008-2371:pcre_compile 中的堆溢出

  6. 6
    SQLite(libsqlite3)

    嵌入在 PHP PDO、Python sqlite3、Node sqlite 中的数据库——CVE-2026-51297:JSON 解析中的释放后使用,可导致远程代码执行;CVE-2019-5018(CVSS 8.1):通过构造的 SQL 远程触发

  7. 7
    Brotli(libbrotlidec / libbrotlienc)

    内置于 Node zlib、Bun、Python brotli 以及 PHP 8.2–8.5 的 Windows 版本中的 C 解码器——CVE-2026-111497:Node2Shell/HTTP2Shell 远程代码执行,波及所有生态

    来源 ↗
  8. 8
    libpng

    PHP GD、Python Pillow、.NET System.Drawing 中的 PNG 解码器——2025 年 10 月一批中有 5 个 CVE:CVE-2025-64505/64506/64720/65018/66293,堆溢出

    来源 ↗
  9. 9
    libjpeg-turbo

    PHP GD、Python Pillow、Node sharp 中的 JPEG 编解码器——CVE-2018-20330:tjLoadImage 中通过 BMP pitchheight 造成的整数溢出堆溢出

  10. 10
    Expat(libexpat)

    Python xml.parsers.expat、Node xml2js、PHP XML 中的 XML 解析器——CVE-2022-40674:堆释放后使用,CVE-2023-52426 等,支撑 RSS/Atom 订阅源

🇺🇸 Grok10 个名次 · 1 条备注

同一个问题,仅由 Grok 回答。上方的最终榜单综合了所有 AI。

  1. 1
    OpenSSL

    几乎每个 HTTPS 连接背后的加密主力;已追踪 110 多个 CVE,即便到了 2026 年,仍不断出现高危内存问题。

  2. 2
    zlib

    几乎所有语言运行时和 Web 服务器都链接了它;尽管经过数十年审计,仍不断出现一些严重堆溢出(包括 2022 年和 2026 年的)。

  3. 3
    libcurl

    嵌入在 PHP、Python、许多 Node 插件和无数后端中的 HTTP 客户端库;内存安全 CVE 持续不断,其中部分在 2026 年达到高危级别。

  4. 4
    libxml2

    PHP、Python、许多 Java 和 Ruby 技术栈的 XML 解析核心;释放后使用和缓冲区问题持续出现,经常被评为 CVSS 7–9。

  5. 5
    Brotli(libbrotli)

    正是这个库,在 2026 年 10 月 26 日迫使 Windows 上的 PHP 紧急重新构建;一个严重的解码器越界写入波及了 Node、Python、.NET 和 PHP。

    来源 ↗
  6. 6
    libpng

    几乎所有处理或提供 PNG 的 Web 运行时都仍需要的通用图片解码器;缓冲区溢出的历史仍在出现,但数量比上面的解析器少。

    来源 ↗
  7. 7
    SQLite

    嵌入几乎所有语言运行时和许多 Web 框架中;内存安全问题比网络解析器少见,但仍会出现,且一旦出现影响很大。

  8. 8
    libjpeg / libjpeg-turbo

    几乎所有图片处理 Web 技术栈中都有的 JPEG 解码路径;周期性的严重溢出使它一直在观察名单上。

  9. 9
    Expat(libexpat)

    许多 C 语言和语言扩展技术栈仍在使用的轻量 XML 解析器;攻击面比 libxml2 小,但并非免于内存损坏。

  10. 10
    PCRE / PCRE2

    嵌入在 PHP、Nginx 和许多语言运行时中的正则表达式引擎;复杂的匹配逻辑多年来产生了多个高危内存问题。

Grok 注意到的内容

OpenSSL、zlib 和 libcurl 仍是地球上部署最广泛的三个软件组件之一;它们合计的 CVE 历史表明,即便在“内存安全”的语言生态中,性能关键的 C 代码仍是主要的残余风险。

🇺🇸 Gemini10 个名次 · 1 条备注

同一个问题,仅由 Gemini 回答。上方的最终榜单综合了所有 AI。

  1. 1
    OpenSSL(libcrypto / libssl)

    保护超过 80% 的 HTTPS 服务器的 TLS 流量,但 2014 年一个缺失的边界检查,泄露了整个网络的私有内存。

  2. 2
    zlib(libz)

    同时静默链接进 Node.js、Python 和 PHP 运行时,使 47.1% 的 HTTP 服务器响应依赖于一个 30 年前的内存模型。

  3. 3
    cURL(libcurl)

    每天承载数十亿次自动化后端 API 调用,但 2023 年一个 SOCKS5 堆溢出,让现代微服务暴露于远程劫持之下。

    来源 ↗
  4. 4
    libxml2

    在 Python lxml、Ruby Nokogiri 和 PHP DOM 背后解析不受信任的文档,一路累积了 100 多个历史内存安全缺陷。

  5. 5
    PCRE / PCRE2

    在 Nginx 重写规则和 PHP 的 preg 引擎中执行正则表达式,嵌套递归模式常常引发越界堆写入。

  6. 6
    glibc

    构成每个标准 Linux Web 容器的系统调用底层;ld.so 中的一个动态链接器溢出,让未经认证的本地用户获得 root 权限。

  7. 7
    SQLite(libsqlite3)

    在 PHP PDO、Python sqlite3 和 Node.js 运行时中嵌入了完整的 SQL 引擎,通过构造的虚拟表产生内存损坏路径。

  8. 8
    ICU(libicu)

    在 Node.js 和 PHP intl 模块中管理 Unicode 排序,其解析表极其复杂,以至于整数溢出可导致任意代码执行。

  9. 9
    Brotli(libbrotli)

    原生打包进 PHP 和 Node.js,用于快速流解码;2026 年 10 月的一个越界写入,迫使多个版本的二进制文件紧急重建。

    来源 ↗
  10. 10
    ImageMagick(libMagickCore)

    把用户头像和媒体上传交给老旧的 C 解码器处理,引发反复出现的内存损坏和远程命令注入事件。

    来源 ↗

Gemini 注意到的内容

高级服务器语言在应用代码中提供内存安全,但把字节解析委托给底层的 C/C++ 库,意味着超过 80% 的远程代码执行漏洞发生在语言运行时边界之下。

🇺🇸 Nova5 个名次 · 2 条备注

同一个问题,仅由 Nova 回答。上方的最终榜单综合了所有 AI。

  1. 1
    Zstandard(Zstd)

    解压速度 200–400 MB/s,压缩比 2.5–3.5 倍,但其 2026 年的流验证缺陷提高了拒绝服务风险。

    来源 ↗
  2. 2
    Brotli

    谷歌的 4–5 倍压缩比压缩器,用于 PHP 8.2+,但 CVE-2026-111497 让解压变成了远程代码执行的途径。

  3. 3
    Gzip(DEFLATE)

    网络最初的压缩器,仍承担 80% 的 HTTP 流量,压缩比 1.5–2 倍,但长期受 zlib 历史缺陷困扰。

    来源 ↗
  4. 4
    LZ4

    解压速度最快,超过 500 MB/s,但压缩比只有 1.5–2 倍;它的简单性避免了 Brotli/Zstd 中出现的复杂漏洞。

    来源 ↗
  5. 5
    Zlib(gzip/deflate)

    Gzip 的核心库,有历史上的缓冲区过读缺陷(CVE-2022-37434),但对于老旧系统仍是最稳妥的选择。

Nova 注意到的内容

LZ4 的零 CVE 和 512 MB/s 解压速度,使它成为最安全的高性能选择,但其 1.6 倍的压缩比限制了带宽节省。

Zstd 在速度(321 MB/s)和压缩比(2.87 倍)之间取得了最佳平衡,但其 2026 年的拒绝服务缺陷证明,即便是现代算法也并非免于边界情况攻击。

🇨🇳 StepFun10 个名次 · 1 条备注

同一个问题,仅由 StepFun 回答。上方的最终榜单综合了所有 AI。

  1. 1
    OpenSSL(libssl / libcrypto)

    记录在案的 CVE 有 330 个,2026 年 1 月的一份公告一次就发布了 12 个——网络上每一次 HTTPS 握手都要经过它。

    来源 ↗
  2. 2
    zlib(libz)

    19 个 CVE,还有一个 inflate() 堆溢出,一直潜伏在默认的 HTTP gzip 路径中,直到 1.2.12 版。

  3. 3
    libcurl

    PHP、Python 和 Ruby 都在使用它,而那个让 NVD 给出 9.8 分的 SOCKS5 堆溢出也出在它身上。

    来源 ↗
  4. 4
    libxml2

    116 个 CVE,还有一个整数溢出同时波及了 PHP 和 Swift。

    来源 ↗
  5. 5
    PCRE2

    PHP 的 preg_* 和 nginx 的 location 块都是 C 语言中的正则——仅 PCRE2 产品就有 19 个 CVE,整个 PCRE 系列有 66 个。

    来源 ↗
  6. 6
    SQLite3

    计数器上是 87 个 CVE——维护者页面还专门论证,其中大多数并不适用于你。

  7. 7
    Brotli(谷歌的 C 解码器)

    这份清单上最新的条目,也是唯一一个在 Node.js、Bun、PHP 和 Python 所捆绑的解码器中同时出现远程代码执行漏洞的。

  8. 8
    libexpat

    流式 XML 解析器有 70 个 CVE,Python 标准库和大量 C++ 服务都链接了它。

  9. 9
    libjpeg-turbo

    网络上每一张上传的头像,都要经过一个背后有 17 个 CVE 的 C 语言 JPEG 解码器。

  10. 10
    glibc(GNU C 库)

    Linux 上每个 PHP、Node.js、Python、Ruby 和 .NET 进程的底层——同一查询,一个镜像上有 168 个 CVE,另一个上有 13 个。

StepFun 注意到的内容

curl 是测量结果存在分歧的最清楚例子:该项目统计其历史上有 146 个安全修复,作者称自 2021 年以来只公开了两个高危 CVE;而一个独立分析工具(AISLE)又发现了六个前沿 AI 系统完全没有发现的 CVE。

🇨🇳 Kimi10 个名次 · 1 条备注

同一个问题,仅由 Kimi 回答。上方的最终榜单综合了所有 AI。

  1. 1
    OpenSSL

    一个 C 库支撑着网络上约 90% 的加密流量,从 2002 年到 2026 年,CVE 公告记录从未中断。

  2. 2
    zlib

    被捆绑进 PHP、Node、Python 和 curl,甚至链接在 OpenSSL 自身之中;它最严重的 inflate() 缺陷评分为 9.8。

  3. 3
    libcurl

    PHP curl 扩展背后的 HTTP 客户端,使每次安装都要拖上另外五个 C 库,而且它还在不断发布自己的 CVE。

    来源 ↗
  4. 4
    libxml2

    PHP 的 XML 解析器仅在 2025 年的一次更新中就吸收了五个内存损坏 CVE——释放后使用、类型混淆和一个栈溢出。

  5. 5
    libexpat

    Python 和众多工具中的 SAX 解析器,在 2026 年 6 月的一次发布中修复了 14 个漏洞。

  6. 6
    nghttp2

    HTTP/2 的参考 C 实现——被 curl 和 PHP 链接——拥有 Rapid Reset 和 CONTINUATION 洪水这两类 CVE。

    来源 ↗
  7. 7
    PCRE2

    每一次 PHP preg_* 调用都运行这个 C 正则引擎——其 JIT 编译器把构造的模式变成了 CVSS 9.1 的越界读取。

    来源 ↗
  8. 8
    SQLite

    PHP、Python 和所有浏览器内部都有它——干净到 2026 年针对它提交的“严重”CVE 被辟谣为 AI 制造的垃圾报告。

  9. 9
    Brotli(libbrotli)

    这里最年轻的库,却已经有一个未经认证即可触发的远程代码执行漏洞——正是“入口解压”模式,与上下文故事中的情形一模一样。

  10. 10
    GnuTLS

    RHEL 系列的默认 TLS:Project Zero 发现的证书验证中的双重释放,是它的标志性漏洞类别。

Kimi 注意到的内容

CVE 计数本身作为衡量指标正在退化:NVD 在 2025 年出现 44,509 条披露后转向选择性补充(自 2020 年以来数量增长 263%),而 2026 年出现的伪造 SQLite CVE 被评为 9.8–10.0,之后才被辟谣。

🇨🇳 DeepSeek10 个名次

同一个问题,仅由 DeepSeek 回答。上方的最终榜单综合了所有 AI。

  1. 1
    OpenSSL 2026

    296 个 CVE,其中 40 个评分 9.0 以上,27 个在 7.0–8.9 区间——没有其他共享 C 库能把这样的部署规模与如此密集的远程内存损坏历史结合起来。

  2. 2
    zlib 2026

    2002 年以来 19 个 CVE,其中 9 个有公开利用程序,还有 inflate 中一个 CVSS 9.8 堆溢出——它是 gzip、PNG 和无数 HTTP 技术栈背后的解压器。

  3. 3
    libxml2 2026

    追踪到 133 个 CVE——这个 XML 解析器的记录在案的内存损坏缺陷,比大多数操作系统内核还多,并且被 PHP、Python 和 Ruby 运行时悄悄加载。

  4. 4
    libcurl 2026

    通用 HTTP 客户端:2026 年 6 月的一个版本修复了 18 个 CVE,其中包括一个 25 年前的内存漏洞,它被嵌入在 PHP、Node.js 和 Python 运行时中。

  5. 5
    glibc 2026

    GNU C 库有 162 个 CVE——它是最深的共享依赖,包括在 setuid 程序中可触及的 ld.so 栈缓冲区溢出。

  6. 6
    libpng 2026

    每一张经过网络运行时的 PNG 图片都会接触 libpng;仅 2026 年就出现了一个堆缓冲区溢出,以及一个块处理中的释放后使用。

    来源 ↗
  7. 7
    libjpeg-turbo 2026

    一个几乎能解码网上所有 JPEG 的库,有 17 个 CVE;2026 年合并上采样中的一个堆缓冲区溢出,说明图片解码的攻击面仍然活跃。

    来源 ↗
  8. 8
    PCRE2 2026

    PHP 和许多网络服务器内部的正则引擎;2026 年出现了一个由整数溢出导致的越界写入,以及 pcre2_jit_match 中的 JIT 内存损坏缺陷。

    来源 ↗
  9. 9
    SQLite 2026

    PHP 和移动/网络运行时的默认数据库;精心构造的 FTS5 页面可以在全文引擎中触发越界读取和堆缓冲区溢出。

  10. 10
    nghttp2 2026

    curl、Node.js 和许多反向代理背后的 C 语言 HTTP/2 协议栈;畸形帧处理在 2026 年产生了一个远程拒绝服务和一个状态校验 CVE。

    来源 ↗
🇨🇳 Wenxin10 个名次

同一个问题,仅由 Wenxin 回答。上方的最终榜单综合了所有 AI。

  1. 1
    zlib

    作为基础 DEFLATE 实现,部署在 99% 的网络服务器和运行时上;20 年公开使用中记录在案的 CVSS 8.0 以上内存缺陷超过 12 个

  2. 2
    PHP 核心运行时(C 实现)

    驱动全球 70% 的网站服务器,仅 2026 年 10 月就公开披露了三个新的未经认证远程代码执行、CVSS 9.0 以上的内存损坏缺陷

  3. 3
    OpenSSL

    被 98% 的 HTTPS 网络服务器使用的 TLS 终止库,有长期的严重远程内存缺陷历史,包括 2014 年的 Heartbleed(CWE-125 越界读取)

  4. 4
    libc(glibc)

    所有 Linux Web 运行时都依赖的系统 C 标准库,承载着 2016 年 Ghost(CVE-2015-0235)等关键缺陷,该缺陷允许未经认证的远程代码执行

  5. 5
    libbrotli

    现已与 .NET、Node.js 和 Apache Web 服务器捆绑的 Brotli 解码库,其远程代码执行 PoC(CVE-2026-111497)于 2026 年 10 月 27 日的前一天发布在 GitHub 上

    来源 ↗
  6. 6
    libcurl

    几乎所有发出出站 HTTP 请求的服务器端运行时都捆绑的 URL 传输库,其历史上记录有 27 个 CVSS 8.0 以上的内存损坏缺陷

    来源 ↗
  7. 7
    SQLite

    预先捆绑进 PHP、Python、Node.js 和 Ruby 的嵌入式数据库库,在处理不受信任的 SQL 输入时,一直有远程解析内存缺陷的记录

  8. 8
    libxml2

    几乎所有服务器端 Web 框架都在用的 XML 解析库,历史上为处理不受信任 XML 输入的数十个远程 XXE 和缓冲区溢出缺陷负责

  9. 9
    zstd(libzstd)

    快速的新一代压缩库,现已包含在 2026 年的 Nginx、Node.js 22+ 和现代 Web 运行时中;因代码库较新,目前仅有 3 个有记录的严重 CVE

    来源 ↗
  10. 10
    libpng

    PNG 图片解码库,捆绑在所有处理用户上传图片的后端语言中;自 1995 年首次发布以来,公开记录了 18 个严重缓冲区溢出漏洞

    来源 ↗
🇨🇳 Qwen10 个名次 · 1 条备注

同一个问题,仅由 Qwen 回答。上方的最终榜单综合了所有 AI。

  1. 1
    zlib

    互联网的“隐形肺”,压缩 90% 的网络流量,同时每隔几年就悄悄出现一次内存损坏 CVE。

    来源 ↗
  2. 2
    OpenSSL(libssl)

    保障网络安全的密码学基石,但其庞大的 C 代码库始终是 Heartbleed 这类灾难性堆损坏的主要目标。

    来源 ↗
  3. 3
    libcurl

    后端运行时的通用数据传输引擎,最近被发现在处理 HTTP/2 流依赖状态时存在危险的释放后使用逻辑。

    来源 ↗
  4. 4
    libxml2

    处理不受信任 SOAP 和 XML 载荷的解析器,在 2026 年 10 月引发了 PHP2Shell 堆缓冲区溢出,出现在流包装器中。

    来源 ↗
  5. 5
    libuv

    Node.js 的异步心跳,负责线程池和文件 I/O,偶尔会在 C 级内存管理中遇到竞态条件。

    来源 ↗
  6. 6
    libsqlite3

    世上部署最广的数据库引擎,在 Web 框架内默默执行复杂的 SQL 状态机,缺少内存安全边界。

    来源 ↗
  7. 7
    libpng

    盲目信任像素头部的图片解码器,历史上单个恶意上传就能造成大规模堆损坏。

    来源 ↗
  8. 8
    libjpeg

    把离散余弦变换转化为内存缓冲区,这个库经历了数十年不受信任图片头部中的整数回绕问题。

    来源 ↗
  9. 9
    libicu

    用 C 语言处理复杂的 Unicode 排序,在解析畸形的国际字符串时偶尔暴露出深层缓冲区溢出。

    来源 ↗
  10. 10
    PCRE(Perl 兼容正则表达式)

    在 C 中评估递归正则模式,一旦输入恶意构造的搜索字符串,就会引发灾难性回溯和栈溢出。

    来源 ↗

Qwen 注意到的内容

2026 年 10 月的 PHP 紧急补丁凸显了一个问题:像 PHP 这样的内存安全语言,仍把不受信任的网络字节解析委托给 Brotli 和 libxml2 等非托管原生 C 库,由此造成系统性的摩擦。