要查看或提取rpm和deb包内容而不安装，需使用特定命令行工具：1. 对于rpm包，使用 rpm -qpl <package_file.rpm> 查看文件列表；通过 rpm2cpio <package_file.rpm> | cpio -idmv 提取内容。2. 对于deb包，使用 dpkg -c <package_file.deb> 查看文件列表；通过 ar x <package_file.deb> 提取出 data.tar.xz 等组件，再用 tar xf data.tar.xz 解压内容。这些操作可在不安装软件的情况下检查其内部结构，有助于安全审计、理解软件布局和预判依赖关系，从而提升系统安全性和维护效率。
要查看软件包里的文件列表或者直接把包里的内容提取出来，而不需要实际安装它们，核心操作就是使用命令行工具。对于RPM包，你可以用
rpm -qpl
命令来查看文件列表，或者通过
rpm2cpio
配合
cpio
来解压。而对于DEB包，
dpkg -c
可以看文件列表，解压则需要
ar
和
tar
的组合拳。这让你能在安装前就对软件的构成一清二楚，掌握更多主动权。
解决方案
好吧，你手上有一个
.rpm
或
.deb
文件，你可能只是想看看里面都有啥，或者想把某个特定的文件拿出来用，而不想真的把它装到系统里。这事儿可不只是满足好奇心，很多时候，它还是调试、安全审计，甚至只是为了搞清楚一个软件到底是怎么回事的关键一步。
对于RPM包（.rpm）：
查看文件列表： 如果你想知道一个RPM包在安装后会把哪些文件放到哪里，这取决于这个包是否已经安装在你的系统上。
-
包已安装在系统上： 直接使用
rpm -ql <package_name>
。比如，你想看看
包安装了哪些文件，命令就是
rpm -ql nginx
。它会列出该包安装的所有文件和目录路径。
-
包文件未安装（你只有一个.rpm文件）： 这时你需要用
rpm -qpl <package_file.rpm>
。例如：
rpm -qpl myapp-1.0.0-1.x86_64.rpm
。这个命令会直接从RPM文件中读取其元数据，告诉你它包含了哪些文件，以及这些文件通常会被安装到哪里。
提取包内容： 提取RPM包的内容稍微有点意思，因为它内部并不是一个简单的tarball。RPM包的数据部分通常是一个CPIO归档。你需要
rpm2cpio
这个工具来把它转换成一个标准的CPIO流，然后用
cpio
命令来解压。
# 假设你的RPM包是 myapp-1.0.0-1.x86_64.rpm rpm2cpio myapp-1.0.0-1.x86_64.rpm | cpio -idmv
-
rpm2cpio
: 这个工具会把RPM包的数据部分提取出来，并以CPIO格式输出到标准输出。
-
cpio -idmv
:
-
-i
: 表示以提取（in）模式运行。
-
-d
: 自动创建必要的目录。
-
-m
: 保留文件的修改时间。
-
-v
: 详细模式，会显示正在提取的每个文件。
-
执行这个命令后，RPM包里的所有文件和目录结构就会在你当前的工作目录下被重建出来。是不是感觉挺方便的？
对于DEB包（.deb）：
DEB包的结构相对来说更直接一点，它本质上是一个
ar
（archive）归档文件，里面通常包含三个主要的组件：
debian-binary
（版本信息）、
control.tar.gz
（控制信息和脚本）和
data.tar.xz
（实际的文件数据）。
查看文件列表： 和RPM包类似，也有两种情况：
-
包已安装在系统上： 使用
dpkg -L <package_name>
。比如
dpkg -L firefox
会列出Firefox在你的系统上安装的所有文件路径。
-
包文件未安装（你只有一个.deb文件）： 你可以用
dpkg -c <package_file.deb>
来查看包内容，这会直接列出
data.tar.xz
（或其他压缩格式）中的文件及其预期的安装路径。 如果你想更底层地看，可以先用
ar t <package_file.deb>
看看DEB包里有哪些成员文件（通常是
debian-binary
,
control.tar.gz
,
data.tar.xz
），然后针对
data.tar.xz
（或
data.tar.gz
/
data.tar.bz2
，具体看实际文件名）使用
tar tf
命令来查看其内部的文件列表。
提取包内容： 要提取DEB包的内容，你需要分两步走：
- 使用
ar
命令从
.deb
文件中提取出各个组件，特别是那个包含实际文件数据的
data.tar.xz
（或
data.tar.gz
/
data.tar.bz2
）。
- 然后使用
tar
命令解压这个
data.tar
文件。
# 假设你的DEB包是 myapp_1.0.0-1_amd64.deb mkdir myapp_extracted cd myapp_extracted ar x ../myapp_1.0.0-1_amd64.deb # 执行后，当前目录会多出 debian-binary, control.tar.gz, data.tar.xz 等文件 # 现在解压实际数据部分 tar xf data.tar.xz # 或者 tar xf data.tar.gz, tar xf data.tar.bz2，取决于你提取出来的实际文件名
这样，所有的应用程序文件就会被解压到你当前创建的
myapp_extracted
目录下了。
为什么在安装前检查软件包内容至关重要？
你可能会问，我直接安装不就行了吗？为什么还要费劲去查看这些包里到底有什么？这其实是一个很好的习惯，尤其是在处理那些来源不明、或者你需要高度信任的软件时。
从我个人的经验来看，这不仅仅是出于“安全偏执”，它有实实在在的价值：
- 安全审计： 这是最直接的理由。你可以检查包里有没有包含恶意脚本、未经授权的二进制文件，或者任何看起来可疑的东西。虽然来自官方仓库的包通常是安全的，但第三方源或者在一些特殊场景下，自己审查一下总没错。这就像你买了一个新电器，总想看看说明书和内部结构，确保它不是“三无产品”。
- 理解软件结构： 有时候，你可能需要知道一个程序把它的配置文件放在哪里，或者它的主执行文件叫什么。通过查看文件列表，你能对软件的安装布局有个清晰的认识，这对于后续的配置、故障排除或者二次开发都非常有帮助。比如，我曾经需要为一个老旧服务写一个Systemd单元文件，但文档不全，就是通过解包找到了它的启动脚本路径。
- 依赖性预判： 虽然包管理器会处理依赖，但有时你可能想提前知道一个包会引入哪些新的库文件或者与现有系统
