文章目录
- Python YAML: 使用 safe_load 进行安全解析
- 什么是 safe_load?
- 如何使用 safe_load?
- 为什么选择 safe_load 而非 load?
Python YAML: 使用 safe_load 进行安全解析
YAML (YAML Ain’t Markup Language) 是一种人类可读的数据序列化标准。它被广泛用于配置文件、多语言环境、交互式应用等场合。Python 为 YAML 提供了强大的支持，其中包括一个安全的加载函数 safe_load。
什么是 safe_load?
safe_load 是 PyYAML 库中的一个函数，用于安全地解析 YAML 文档。它的主要优点是可以防止执行任意 Python 代码，这是因为原始的 load 函数会处理 YAML 文档中的所有数据，包括 Python 对象和函数。如果一个 YAML 文档被设计为包含恶意代码，使用 load 函数可能会导致系统安全风险。
import yaml
# 使用 safe_load 解析 YAML
data = """
a: 1
b: 2
"""
parsed = yaml.safe_load(data)
print(parsed) # 输出: {'a': 1, 'b': 2}
如何使用 safe_load?
以下是一个使用 safe_load 的基本示例:
import yaml
with open("config.yaml", 'r') as stream:
try:
config = yaml.safe_load(stream)
except yaml.YAMLError as exc:
print(exc)
在这个示例中，首先导入了 yaml 模块。然后打开一个名为 “config.yaml” 的文件，并尝试使用 safe_load 函数进行解析。如果解析过程中出现任何错误，都会捕获并打印出来。
为什么选择 safe_load 而非 load?
在处理 YAML 数据时，可能会看到两种加载函数：load 和 safe_load。尽管 load 可以处理更多的数据类型，但它也有一些安全隐患。
YAML 文档可以包含表示 Python 对象和函数的数据。当使用 load 函数解析这样的文档时，这些对象和函数会被实例化和执行。这意味着，如果 YAML 文档包含恶意代码，那么 load 函数就可能会执行它。
例如，一个恶意的 YAML 文档可能包含以下内容：
!!python/object/apply:os.system ["rm -rf /"]
如果用 load 函数解析这个文档，它将会尝试执行 os.system("rm -rf /")，这个命令会删除系统上的所有文件，这是非常危险的。
而 safe_load 函数不会处理这些复杂的 YAML 标记，所以即使加载了这样的文档，也不会有任何影响。这就是为什么在处理不可信的 YAML 文档时，总是推荐使用 safe_load 的原因。
除非已知 YAML 文档来自可信的源，并且需要处理的数据类型超出了 safe_load 所能处理的范围，才推荐使用load 函数。
ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ
ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ
文章出处登录后可见！
