python yaml库：safe_load()（安全解析函数，解析yaml）（防止yaml文件中包含恶意代码）
文章目录
- Python YAML: 使用 safe_load 进行安全解析
- 什么是 safe_load?
- 如何使用 safe_load?
- 为什么选择 safe_load 而非 load?
Python YAML: 使用 safe_load 进行安全解析
YAML (YAML Ain’t Markup Language) 是一种人类可读的数据序列化标准。它被广泛用于配置文件、多语言环境、交互式应用等场合。Python 为 YAML 提供了强大的支持，其中包括一个安全的加载函数 safe_load。
什么是 safe_load?
safe_load 是 PyYAML 库中的一个函数，用于安全地解析 YAML 文档。它的主要优点是可以防止执行任意 Python 代码，这是因为原始的 load 函数会处理 YAML 文档中的所有数据，包括 Python 对象和函数。如果一个 YAML 文档被设计为包含恶意代码，使用 load 函数可能会导致系统安全风险。
import yaml# 使用 safe_load 解析 YAML
data = """
a: 1
b: 2
"""
parsed = yaml.safe_load(data)
print(parsed) # 输出: {'a': 1, 'b': 2}
如何使用 safe_load?
以下是一个使用 safe_load 的基本示例:
import yamlwith open("config.yaml", 'r') as stream:try:config = yaml.safe_load(stream)except yaml.YAMLError as exc:print(exc)
在这个示例中，首先导入了 yaml 模块。然后打开一个名为 “config.yaml” 的文件，并尝试使用 safe_load 函数进行解析。如果解析过程中出现任何错误，都会捕获并打印出来。
为什么选择 safe_load 而非 load?
在处理 YAML 数据时，可能会看到两种加载函数：load 和 safe_load。尽管 load 可以处理更多的数据类型，但它也有一些安全隐患。
YAML 文档可以包含表示 Python 对象和函数的数据。当使用 load 函数解析这样的文档时，这些对象和函数会被实例化和执行。这意味着，如果 YAML 文档包含恶意代码，那么 load 函数就可能会执行它。
例如，一个恶意的 YAML 文档可能包含以下内容：
!!python/object/apply:os.system ["rm -rf /"]
如果用 load 函数解析这个文档，它将会尝试执行 os.system("rm -rf /")，这个命令会删除系统上的所有文件，这是非常危险的。
而 safe_load 函数不会处理这些复杂的 YAML 标记，所以即使加载了这样的文档，也不会有任何影响。这就是为什么在处理不可信的 YAML 文档时，总是推荐使用 safe_load 的原因。
除非已知 YAML 文档来自可信的源，并且需要处理的数据类型超出了 safe_load 所能处理的范围，才推荐使用load 函数。
ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ
ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ
相关文章：
（安全解析函数，解析yaml）（防止yaml文件中包含恶意代码）)
python yaml库：safe_load()（安全解析函数，解析yaml）（防止yaml文件中包含恶意代码）
文章目录 Python YAML: 使用 safe_load 进行安全解析什么是 safe_load?如何使用 safe_load?为什么选择 safe_load 而非 load? Python YAML: 使用 safe_load 进行安全解析 YAML (YAML Ain’t Markup Language) 是一种人类可读的数据序列化标准。它被广泛用于配置文件、多语言…...
小程序：下拉刷新+上拉加载+自定义导航栏
下拉刷新 ： <scroll-view scroll-y"true" 允许纵向滚动 refresher-enabled"true" 开启自定义下拉刷新 默认为false :refresher-triggered&quo…...
判断两个二叉树是否相等
bool isSameTree(struct TreeNode* p, struct TreeNode* q) {//两个都为空if(pNULL&&qNULL){return true;}//有一个为空if(pNULL||qNULL){return false;}//两个不为空，但值不相同if(p->val!q->val){return false;}//值相同return isSameTree(p->le…...
springcloud----检索中间件 ElasticSearch 分布式场景的运用
如果对es的基础知识有不了解的可以看 es看这个文章就会使用了 1.分布式集群场景下的使用 单机的elasticsearch做数据存储，必然面临两个问题：海量数据存储问题、单点故障问题。 海量数据存储问题：将索引库从逻辑上拆分为N个分片（…...
qt创建线程类并实现通信 C++
需求描述： 通过VS创建了一个QT项目，我需要一个线程类去实时获取设备取流的图像，并将图像传给qt的类用于在QLabel上显示。 实现： 头文件： //include ...省略//Qt界面的类Your_Project class Your_Project : public Q…...
【elasticsearch】使用自建证书搭建elasticsearch8.0.1集群
概述 本文将分享使用自建证书搭建加密的es集群，如果想使用rpm包安装，前期的搭建过程请参考上面一篇文章https://blog.csdn.net/margu_168/article/details/133344675。后续的操作与使用tar包安装的类似，只是需要注意目录的区别。 es8.0.1安…...
一篇文章带你用动态规划解决打家劫舍问题
动态规划的解题步骤可以分为以下五步，大家先好好记住 1.创建dp数组以及明确dp数组下标的含义 2.制定递推公式 3.初始化 4.遍历顺序 5.验证结果 根据打家劫舍的题意：两个直接相连的房子在同一天晚上被打劫会触发警报 所以我们制定出核心策略——偷东…...
idea中导入eclipse的javaweb项目——tomact服务（保姆级别）
idea中导入eclipse的javaweb项目——tomact服务（保姆级别） 1. 导入项目2. Project Settings下的各种配置步骤2.1 检查/修改 jdk 的引入2.2 配置Modules-Dependencies2.2.1 删掉eclipse相关的多余配置2.2.2 删掉jar包2.2.3 添加tomcat的依赖 2.3 配置Libr…...
【开源】给ChatGLM写个，Java对接的SDK
作者：小傅哥 - 百度搜 小傅哥bugstack 博客：bugstack.cn 沉淀、分享、成长，让自己和他人都能有所收获！😄 大家好，我是技术UP主小傅哥。 清华大学计算机系的超大规模训练模型 ChatGLM-130B 使用效果非常牛&…...
基于Pytest+Allure+Excel的接口自动化测试框架
1. Allure 简介 简介 Allure 框架是一个灵活的、轻量级的、支持多语言的测试报告工具，它不仅以 Web 的方式展示了简介的测试结果，而且允许参与开发过程的每个人可以从日常执行的测试中，最大限度地提取有用信息。 Allure 是由 Java 语言开发的…...
20.2 FMC驱动SDRAM的时序初始化实现及内存测试
继续上一篇的话题，写到SDRAM通过CubeMx配置后，在工程代码编写时直接引用的是我事先写好的时序初始化、内存测试文件，而未对其进行详细的解释，所以本篇文章就来娓娓道来。不多说，开始吧 SDRAM的初始化流程简述 SDRAM初…...
联想电脑一键重装系统Win10操作方法
很多用户都会利用重装系统的方法，来解决系统崩溃、病毒感染等问题。但是，很多新手用户不知道联想电脑Win10系统重装的详细方法步骤，下面小编给大家详细介绍关于联想电脑Win10系统重装的操作方法，帮助大家轻松快速地完成系统的重装…...
Mysql数据库 1.概述
Mysql内容概述 1. Mysql概述 数据库相关概念： 名称 全称 简称 数据库 存储数据的仓库，数据是有组织的进行存储 …...
Qt编程，文件操作、UDP通信
目录 1、文件类 QFile 2、 UPD/TCP网络编程 1、##UDP客户端 2、##UDP服务器端 1、文件类 QFile QFile file(filename); file.exists() file.setFileName(filename1); file.fileName() file.bytesAvailable() file.size() file.copy("2.txt") file1.errorString(…...
Docker 的数据管理和Dockerfile镜像的创建
目录 Docker 的数据管理 管理 Docker 容器中数据的方式 端口映射 容器互联（使用centos镜像） Docker 镜像的创建 Dockerfile 操作常用的指令 编写 Dockerfile 时格式 Dockerfile 案例 Docker 的数据管理 管理 Docker 容器中数据的方式 管理 Doc…...
[python] 利用 Pydoc 快速生成整个 Python 项目的文档
如何写注释 class MyClass:"""This is a simple example class.Attributes:param1 (int): The first parameter.param2 (str): The second parameter."""def __init__(self, param1, param2):"""The constructor for MyClass.:p…...
Maven 配置指南
目录 一、配置本地存储库 二、配置并行Artifact 解析 三、安全和部署设置 四、将镜像用于存储库 五、Profiles 六、可选配置 七、Settings 八、安全性 九、工具链 Maven配置发生在3个级别： 项目-大多数静态配置发生在pom.xml中安装-这是为Maven安装添加的…...
第十八章 类和对象——多态
一、多态的基本概念 多态是C面向对象三大特性之一 多态分为两类 静态多态: 函数重载 和 运算符重载属于静态多态，复用函数名 动态多态: 派生类和虚函数实现运行时多态 静态多态和动态多态区别： 静态多态的函数地址早绑定 - 编译阶段确定函数地址 动…...
京东数据平台：2023年服饰行业销售数据分析
最近看到有些消费机构分析，不少知名的运动品牌都把“主战场”放到了冲锋衣，那么羽绒服市场就比较危险了。但其实羽绒服市场也有机会点可寻。 先来说冲锋衣。的确，从今年的销售数据以及增长情况，冲锋衣的确会是今年冬天的大热门品…...
Nginx proxy_set_header参数设置
一、不设置 proxy_set_header Host 不设置 proxy_set_header Host 时，浏览器直接访问 nginx，获取到的 Host 是 proxy_pass 后面的值，即 $proxy_host 的值，参考Module ngx_http_proxy_module 1 2 3 4 5 6 7 8 # cat ngx_header.c…...
用Python复现FAST天眼数学建模：从坐标变换到促动器伸缩量计算（附完整代码）
用Python复现FAST天眼数学建模：从坐标变换到促动器伸缩量计算（附完整代码） 中国天眼FAST作为全球最大单口径射电望远镜，其主动反射面调节系统堪称现代工程奇迹。当观测不同方位天体时，需要通过促动器精确控制4450块反射…...
用Keras和MNIST数据集，5分钟搞定一个图像去噪的CNN自编码器（附完整代码）
5分钟实战：用Keras构建图像去噪自编码器的极简指南 当一张布满噪点的老照片在AI处理后重现清晰画面时，这种"数字魔法"背后往往是自编码器在发挥作用。作为深度学习领域的瑞士军刀，自编码器不仅能用于图像去噪，还在数据压…...
LrcHelper：3分钟掌握网易云音乐双语歌词下载，告别歌词烦恼
LrcHelper：3分钟掌握网易云音乐双语歌词下载，告别歌词烦恼 【免费下载链接】LrcHelper 从网易云音乐下载带翻译的歌词 Walkman 适配 项目地址: https://gitcode.com/gh_mirrors/lr/LrcHelper 你是否曾为找不到心爱歌曲的歌词而烦恼？或…...
Qdrant Python客户端全解析：从向量数据库连接到AI应用开发实战
1. 项目概述：从向量数据库到客户端，现代AI应用落地的关键拼图如果你最近在折腾大语言模型应用，或者想给自己的产品加上一个“智能大脑”，那你大概率已经听过“向量数据库”这个词了。简单来说，它就像一个专门为AI模型设…...
Forge模组开发效率提升：Gradle插件自动化构建与热部署实践
1. 项目概述：一个为Forge模组开发者准备的“瑞士军刀”如果你是一名Minecraft Forge模组的开发者，或者你正打算踏入这个充满创造力的领域，那么你大概率经历过这样的场景：为了测试一个简单的功能改动，你需要反复地执行g…...
轻量级HTTP代理monica-proxy：精准流量转发与多场景部署指南
1. 项目概述与核心价值最近在折腾一些需要跨网络环境访问特定服务的项目，发现一个挺有意思的工具叫ycvk/monica-proxy。这本质上是一个基于 Go 语言开发的轻量级 HTTP/HTTPS 代理服务器，但它和我们常见的那些“全能型”代理不太一样。它的设计初衷非常聚…...
CircuitPython开发进阶：从库文档解读到内存优化与异步编程实战
1. 从“能用”到“精通”：为什么你需要深入理解CircuitPython库文档刚接触CircuitPython时，我们往往是从复制粘贴示例代码开始的。这没什么问题，快速让一个LED闪烁起来，或者让传感器读出数据，那种即时反馈的成就感是驱…...
Python数据聚合抓取工具：从配置化引擎到实战避坑指南
1. 项目概述：一个多功能的“聚合爪”工具最近在GitHub上闲逛，发现了一个名字挺有意思的项目：al1enjesus/polyclawster。这个名字拆开看，“poly”代表多，“clawster”听起来像是“claw”（爪子）和…...
飞书自动化脚本开发指南：从API集成到智能审批机器人实战
1. 项目概述：飞书自动化，从“手动”到“自动”的效能革命 如果你每天的工作，有超过30%的时间是在飞书里重复点击、复制粘贴、手动发送消息和整理表格，那么“cicbyte/feishu-atuo”这个项目，很可能就是你一直在寻找的“…...
Go语言SDK开发实战：为AI编程助手Cursor构建高效API客户端
1. 项目概述：一个为AI编程助手Cursor定制的Go语言SDK如果你和我一样，日常重度依赖Cursor这类AI编程助手来提升开发效率，同时又是个Go语言的忠实拥趸，那你肯定遇到过这样的场景：想用Go写个脚本，自动化处理一…...