可信 SHA256 ZIP 落盘校验与完整流式解压；不负责运行时选择、环境激活或安装提交。导入不下载。
显式需要归档校验时使用：下载到缓存并核对调用者提供的SHA256，再流式解压。extractDir必须不存在；失败可能留下部分目录，由调用方清理。返回 {dir;archivePath;sha256;files;bytes} 或 null,err,kind。
options.archivePath、rootName（单层归档根目录）必填；根目录内容直接解到extractDir。可选finalDir预检最终路径、stop()、onProgress(received,total)。严格使用传入URL，不选择镜像或限定发行来源。
只校验ZIP归档，不对安装后的文件建立hash清单或检查升级；不是所有下载的必经入口，普通下载继续使用zlib.httpFile.download。保留ZIP本身的长度/CRC/写入错误检查；不是不可信归档沙箱。