python yaml库：safe_load()（安全解析函数，解析yaml）（防止yaml文件中包含恶意代码）
文章目录
- Python YAML: 使用 safe_load 进行安全解析
- 什么是 safe_load?
- 如何使用 safe_load?
- 为什么选择 safe_load 而非 load?
Python YAML: 使用 safe_load 进行安全解析
YAML (YAML Ain’t Markup Language) 是一种人类可读的数据序列化标准。它被广泛用于配置文件、多语言环境、交互式应用等场合。Python 为 YAML 提供了强大的支持，其中包括一个安全的加载函数 safe_load。
什么是 safe_load?
safe_load 是 PyYAML 库中的一个函数，用于安全地解析 YAML 文档。它的主要优点是可以防止执行任意 Python 代码，这是因为原始的 load 函数会处理 YAML 文档中的所有数据，包括 Python 对象和函数。如果一个 YAML 文档被设计为包含恶意代码，使用 load 函数可能会导致系统安全风险。
import yaml# 使用 safe_load 解析 YAML
data = """
a: 1
b: 2
"""
parsed = yaml.safe_load(data)
print(parsed) # 输出: {'a': 1, 'b': 2}
如何使用 safe_load?
以下是一个使用 safe_load 的基本示例:
import yamlwith open("config.yaml", 'r') as stream:try:config = yaml.safe_load(stream)except yaml.YAMLError as exc:print(exc)
在这个示例中，首先导入了 yaml 模块。然后打开一个名为 “config.yaml” 的文件，并尝试使用 safe_load 函数进行解析。如果解析过程中出现任何错误，都会捕获并打印出来。
为什么选择 safe_load 而非 load?
在处理 YAML 数据时，可能会看到两种加载函数：load 和 safe_load。尽管 load 可以处理更多的数据类型，但它也有一些安全隐患。
YAML 文档可以包含表示 Python 对象和函数的数据。当使用 load 函数解析这样的文档时，这些对象和函数会被实例化和执行。这意味着，如果 YAML 文档包含恶意代码，那么 load 函数就可能会执行它。
例如，一个恶意的 YAML 文档可能包含以下内容：
!!python/object/apply:os.system ["rm -rf /"]
如果用 load 函数解析这个文档，它将会尝试执行 os.system("rm -rf /")，这个命令会删除系统上的所有文件，这是非常危险的。
而 safe_load 函数不会处理这些复杂的 YAML 标记，所以即使加载了这样的文档，也不会有任何影响。这就是为什么在处理不可信的 YAML 文档时，总是推荐使用 safe_load 的原因。
除非已知 YAML 文档来自可信的源，并且需要处理的数据类型超出了 safe_load 所能处理的范围，才推荐使用load 函数。
ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ
ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ ᅟᅠ
相关文章：
python yaml库：safe_load()（安全解析函数，解析yaml）（防止yaml文件中包含恶意代码）
文章目录 Python YAML: 使用 safe_load 进行安全解析什么是 safe_load?如何使用 safe_load?为什么选择 safe_load 而非 load? Python YAML: 使用 safe_load 进行安全解析 YAML (YAML Ain’t Markup Language) 是一种人类可读的数据序列化标准。它被广泛用于配置文件、多语言…...
小程序：下拉刷新+上拉加载+自定义导航栏
下拉刷新 ： <scroll-view scroll-y"true" 允许纵向滚动 refresher-enabled"true" 开启自定义下拉刷新 默认为false :refresher-triggered&quo…...
判断两个二叉树是否相等
bool isSameTree(struct TreeNode* p, struct TreeNode* q) {//两个都为空if(pNULL&&qNULL){return true;}//有一个为空if(pNULL||qNULL){return false;}//两个不为空，但值不相同if(p->val!q->val){return false;}//值相同return isSameTree(p->le…...
springcloud----检索中间件 ElasticSearch 分布式场景的运用
如果对es的基础知识有不了解的可以看 es看这个文章就会使用了 1.分布式集群场景下的使用 单机的elasticsearch做数据存储，必然面临两个问题：海量数据存储问题、单点故障问题。 海量数据存储问题：将索引库从逻辑上拆分为N个分片（…...
qt创建线程类并实现通信 C++
需求描述： 通过VS创建了一个QT项目，我需要一个线程类去实时获取设备取流的图像，并将图像传给qt的类用于在QLabel上显示。 实现： 头文件： //include ...省略//Qt界面的类Your_Project class Your_Project : public Q…...
【elasticsearch】使用自建证书搭建elasticsearch8.0.1集群
概述 本文将分享使用自建证书搭建加密的es集群，如果想使用rpm包安装，前期的搭建过程请参考上面一篇文章https://blog.csdn.net/margu_168/article/details/133344675。后续的操作与使用tar包安装的类似，只是需要注意目录的区别。 es8.0.1安…...
一篇文章带你用动态规划解决打家劫舍问题
动态规划的解题步骤可以分为以下五步，大家先好好记住 1.创建dp数组以及明确dp数组下标的含义 2.制定递推公式 3.初始化 4.遍历顺序 5.验证结果 根据打家劫舍的题意：两个直接相连的房子在同一天晚上被打劫会触发警报 所以我们制定出核心策略——偷东…...
idea中导入eclipse的javaweb项目——tomact服务（保姆级别）
idea中导入eclipse的javaweb项目——tomact服务（保姆级别） 1. 导入项目2. Project Settings下的各种配置步骤2.1 检查/修改 jdk 的引入2.2 配置Modules-Dependencies2.2.1 删掉eclipse相关的多余配置2.2.2 删掉jar包2.2.3 添加tomcat的依赖 2.3 配置Libr…...
【开源】给ChatGLM写个，Java对接的SDK
作者：小傅哥 - 百度搜 小傅哥bugstack 博客：bugstack.cn 沉淀、分享、成长，让自己和他人都能有所收获！😄 大家好，我是技术UP主小傅哥。 清华大学计算机系的超大规模训练模型 ChatGLM-130B 使用效果非常牛&…...
基于Pytest+Allure+Excel的接口自动化测试框架
1. Allure 简介 简介 Allure 框架是一个灵活的、轻量级的、支持多语言的测试报告工具，它不仅以 Web 的方式展示了简介的测试结果，而且允许参与开发过程的每个人可以从日常执行的测试中，最大限度地提取有用信息。 Allure 是由 Java 语言开发的…...
20.2 FMC驱动SDRAM的时序初始化实现及内存测试
继续上一篇的话题，写到SDRAM通过CubeMx配置后，在工程代码编写时直接引用的是我事先写好的时序初始化、内存测试文件，而未对其进行详细的解释，所以本篇文章就来娓娓道来。不多说，开始吧 SDRAM的初始化流程简述 SDRAM初…...
联想电脑一键重装系统Win10操作方法
很多用户都会利用重装系统的方法，来解决系统崩溃、病毒感染等问题。但是，很多新手用户不知道联想电脑Win10系统重装的详细方法步骤，下面小编给大家详细介绍关于联想电脑Win10系统重装的操作方法，帮助大家轻松快速地完成系统的重装…...
Mysql数据库 1.概述
Mysql内容概述 1. Mysql概述 数据库相关概念： 名称 全称 简称 数据库 存储数据的仓库，数据是有组织的进行存储 …...
Qt编程，文件操作、UDP通信
目录 1、文件类 QFile 2、 UPD/TCP网络编程 1、##UDP客户端 2、##UDP服务器端 1、文件类 QFile QFile file(filename); file.exists() file.setFileName(filename1); file.fileName() file.bytesAvailable() file.size() file.copy("2.txt") file1.errorString(…...
Docker 的数据管理和Dockerfile镜像的创建
目录 Docker 的数据管理 管理 Docker 容器中数据的方式 端口映射 容器互联（使用centos镜像） Docker 镜像的创建 Dockerfile 操作常用的指令 编写 Dockerfile 时格式 Dockerfile 案例 Docker 的数据管理 管理 Docker 容器中数据的方式 管理 Doc…...
[python] 利用 Pydoc 快速生成整个 Python 项目的文档
如何写注释 class MyClass:"""This is a simple example class.Attributes:param1 (int): The first parameter.param2 (str): The second parameter."""def __init__(self, param1, param2):"""The constructor for MyClass.:p…...
Maven 配置指南
目录 一、配置本地存储库 二、配置并行Artifact 解析 三、安全和部署设置 四、将镜像用于存储库 五、Profiles 六、可选配置 七、Settings 八、安全性 九、工具链 Maven配置发生在3个级别： 项目-大多数静态配置发生在pom.xml中安装-这是为Maven安装添加的…...
第十八章 类和对象——多态
一、多态的基本概念 多态是C面向对象三大特性之一 多态分为两类 静态多态: 函数重载 和 运算符重载属于静态多态，复用函数名 动态多态: 派生类和虚函数实现运行时多态 静态多态和动态多态区别： 静态多态的函数地址早绑定 - 编译阶段确定函数地址 动…...
京东数据平台：2023年服饰行业销售数据分析
最近看到有些消费机构分析，不少知名的运动品牌都把“主战场”放到了冲锋衣，那么羽绒服市场就比较危险了。但其实羽绒服市场也有机会点可寻。 先来说冲锋衣。的确，从今年的销售数据以及增长情况，冲锋衣的确会是今年冬天的大热门品…...
Nginx proxy_set_header参数设置
一、不设置 proxy_set_header Host 不设置 proxy_set_header Host 时，浏览器直接访问 nginx，获取到的 Host 是 proxy_pass 后面的值，即 $proxy_host 的值，参考Module ngx_http_proxy_module 1 2 3 4 5 6 7 8 # cat ngx_header.c…...
如何用 ChatGPT 的 Advanced Data Analysis 帮你采集数据？
（注：本文为小报童精选文章，已订阅小报童或加入知识星球「玉树芝兰」用户请勿重复付费） 想采集网页数据却不会写 Python 爬虫？不会就不会吧，ChatGPT 会就可以了 😂 问题描述 朋友最近遇到了一点儿…...
Linux运行环境搭建系列-Flink安装
Flink安装 ## 下载 https://archive.apache.org/dist/flink/flink-1.16.2 ## 解压 tar -zxvf flink-1.16.2-bin-scala_2.12.tgz && rm -rf flink-1.16.2-bin-scala_2.12.tgz ## 启动 cd flink-1.16.2/bin ## 修改/etc/hosts文件，把第一行的127.0.0.1改成自…...
求最大bit数(java)
题目描述 求一个int类型数字对应的二进制数字中1的最大连续数 例如3的二进制为00000011，最大连续2个1 数据范围:数据组数:11t15，11n1500000进阶: 时间复杂度: O(logn)，空间复杂度: O(1) 输入: 200 输出 2 说明 200的二进制表示是11001000&am…...
【Java 进阶篇】JavaScript 与 HTML 的结合方式
JavaScript是一种广泛应用于Web开发中的脚本语言，它与HTML（Hypertext Markup Language）结合使用，使开发人员能够创建交互式和动态的网页。在这篇博客中，我们将深入探讨JavaScript与HTML的结合方式，包括如何…...
华为云云耀云服务器L实例评测 ｜ 实例评测使用之硬件参数评测：华为云云耀云服务器下的 Linux 磁盘目录分析神器 ncdu
华为云云耀云服务器L实例评测 ｜ 实例评测使用之硬件参数评测：华为云云耀云服务器下的 Linux 磁盘目录分析神器 ncdu 介绍华为云云耀云服务器 华为云云耀云服务器 （目前已经全新升级为 华为云云耀云服务器L实例） 华为云云耀云服务器…...
Linux大老都是怎么记住这么多命令的？
今天给大家带来的是面试/实际工作中经常用到的Linux相关操作命令: 一. vi/vim编辑器 ---->文本编辑器 作用：创建文件，编辑文件，查看文件 格式：vi/vim 文件的名字 解析：如果该文件不存在，vi就会创建该…...
LoRa技术未来发展前景：物联网和边缘计算的引领者
随着物联网和边缘计算的快速发展，低功耗广域网（LoRa）技术在连接远距离设备、实现长距离通信和满足低功耗需求方面崭露头角。本文将分析LoRa技术在未来的发展前景，尤其是在物联网和边缘计算领域的潜在影响。 LoRa技术的核心优势 1…...
出现 PowerShell终端执行conda activate无效 解决方法
目录 1. 问题所示2. 原理分析3. 解决方法1. 问题所示 在cmd命令行中执行conda activate 可以成功，但是回pycharm的PowerShell终端执行该命令，一直无效 具体过程如下： PS E:\pythonProject\SteganoGAN-master> conda activate py37 PS E:\pythonProject\SteganoGAN-mas…...
Python实现某音短视频JS XB逆向解析
哈喽兄弟们，今天来实现一下某音短视频的JS逆向解析。 知识点 动态数据抓包在这里插入代码片 requests发送请求 X-Bogus 参数逆向环境模块 python 3.8 运行代码 pycharm 2022.3 辅助敲代码 requests pip install request…...
SecureCRT 自动测试脚本的使用方法
脚本示例（get_batteryifo_interval_2s.vbs）： Sub Main Do While(1)crt.Screen.Send "pm_client batteryinfo" & chr(13)crt.Sleep 2000 Loop End Sub 1. 解压 SecureCRT 压缩包（网上下载）；…...
常用图像标注工具
1. LabelImg 1）LabelImg 是一款开源的图像标注工具，标签可用于分类和目标检测，它是用 Python 编写的，并使用Qt作为其图形界面，简单好用。注释以 PASCAL VOC 格式保存为 XML 文件，这是 ImageNet 使用的格式。…...
hadoop namenode -format报错显示：命令未找到
这个bug很搞笑，我做分布式搭建时，slaver1和slaver2都可以hadoop name -format，就是master不可以，配置都是一样的，这个第一时间也是想到了环境配置问题 打开环境配置文件编辑 sudo vim ~/.bashrc 添加以下代码&#…...
prostate数据集下载
1. prostatex 下载地址：https://wiki.cancerimagingarchive.net/pages/viewpage.action?pageId23691656 比赛：https://prostatex.grand-challenge.org/ 这个下载的是一个tcia文件，参考这篇文章打开该文件 2. promise12 地址：…...
比较和同步数据库架构和数据:MssqlMerge Pro Crack
比较和同步数据库架构和数据 适用于Oracle、MySQL 和 MariaDB、SQL Server、PostgreSQL、SQLite、MS Access和跨 DBMS 场景 业界领先的文本比较工具中常用的两面板 UI 快速过滤器显示所有/新/更改/新更改 合并两个方向的更改 轻量级：跨 DBMS 工具小于 20 MB…...
R语言——赋值（= ，＜- ，＜＜-）
R语言 R语言——赋值（ ，<- ，<<-） 文章目录 R语言一、 与 <- 的区别二、 <<- ,向上一环境层写入变量 R语言中" <- " 与 " " 都可以用来赋值，但R中建议使用" <- “…...
图形界面四则运算计算器(Python+PyQt5)
(1) 导入所需的库和模块。 (2) 创建一个名为Calculator的类，继承自QMainWindow。 (3) 在Calculator类的__init__方法中，调用initUI方法初始化界面。 (4) 在initUI方法中，设置窗口标题和大小，创建显示结果的文本框，并调…...
SQL Server 创建表
切换数据库，判断是否存在 --切换数据库 use DBTEST--判断表是否存在 --创建的所有表都可以在sys.boject中找到，所以这里在sys.objects中查找是否有名字为department的表并且type为U 即用户生成的表 if exists(select * from sys.objects where namedepa…...
JS数组或数组对象去重常用方法
数组去重有许多种方法，下面列举几种常见方法 数组去重数组对象去重 数组去重 使用 Set：将数组转化为 Set 对象，去重后再转化回数组，Set 会自动去重 const arr [1, 2, 3, 2, 1, 4] const newArr [...new Set(arr)] console.log…...
allure测试报告生成逻辑--解决在Jenkins里打开allure报告页面后空白显示无数据问题（以window环境为例）
前言 相信大家在用Jenkins持续集成+ant自动构建+jmeter接口测试+pytest代码.xml文件转化+allure测试报告为一体的接口自动化测试构建过程中，都会遇到Jenkins里打开allure报告页面后空白显示无数据问题这一现象级问题，今天Darren洋就给大家分享一下如何讲讲allure测试报告生成…...
基于JAYA优化的BP神经网络（分类应用） - 附代码
基于JAYA优化的BP神经网络（分类应用） - 附代码 文章目录 基于JAYA优化的BP神经网络（分类应用） - 附代码1.鸢尾花iris数据介绍2.数据集整理3.JAYA优化BP神经网络3.1 BP神经网络参数设置3.2 JAYA算法应用 4.测试结果：5.M…...
JavaScript进阶（二十六）：ES各版本特性详解
文章目录 一、ECMAScript简介二、ES6 (ES2015)三、ES7 (ES2016)四、ES8 (ES2017)五、ES9 (ES2018)六、ES10 (ES2019)七、ES11 (ES2020)八、ES12 (ES2021)九、拓展阅读 一、ECMAScript简介 ECMAScript是一种由Ecma国际（前身为欧洲计算机制造商协会，Europ…...
排序算法-快速排序法（QuickSort）
排序算法-快速排序法（QuickSort） 1、说明 快速排序法是由C.A.R.Hoare提出来的。快速排序法又称分割交换排序法，是目前公认的最佳排序法，也是使用分而治之（Divide and Conquer）的方式，会先在数…...
Python 简介
一、Python 简介 Python 是著名的“龟叔” Guido van Rossum 在 1989 年圣诞节期间，为了打发无聊的圣诞节而编写的一个编程语言。牛人就是牛人，为了打发无聊时间竟然写了一个这么牛皮的编程语言。 现在，全世界差不多有 600 多种编程语言&am…...
grafana api创建dashboard 记录
文章目录 json model导入申请api key创建dashboard删除dashboard json model导入 直接在ui通过json model 导入，开发自己用还好，但对非开发人员不太友好，故考虑通过api后台自动创建 api doc : https://grafana.com/docs/grafana/v9.3/devel…...
局域网上IP多播与IP单播关于MAC地址的区别
IP单播进行到局域网上的时候： 网际层使用IP地址进行寻址，各路由器收到IP数据报后，根据其首部中的目的IP地址的网络号部分，基于路由表进行查表转发。 查表转发的结果可指明IP数据报的下一跳路由器的IP地址，但无法指明…...
三数之和[中等]
优质博文：IT-BLOG-CN 一、题目 给你一个整数数组nums，判断是否存在三元组[nums[i], nums[j], nums[k]]满足i ! j、i ! k且j ! k，同时还满足nums[i] nums[j] nums[k] 0。请你返回所有和为0且不重复的三元组。 注意：答案中不可以…...
基于天牛须优化的BP神经网络（分类应用） - 附代码
基于天牛须优化的BP神经网络（分类应用） - 附代码 文章目录 基于天牛须优化的BP神经网络（分类应用） - 附代码1.鸢尾花iris数据介绍2.数据集整理3.天牛须优化BP神经网络3.1 BP神经网络参数设置3.2 天牛须算法应用 4.测试结果&#x…...
渗透波菜网站
免责声明 本文发布的工具和脚本，仅用作测试和学习研究，禁止用于商业用途，不能保证其合法性，准确性，完整性和有效性，请根据情况自行判断。如果任何单位或个人认为该项目的脚本可能涉嫌侵犯其权利，…...
Spring Boot：Dao层-实例介绍
目录 Dao层的作用Dao层的特点与 Service 层和 Controller 层的关系实例介绍MenuDaoOperatorLogDaoRoleDaoUserDao四个文件的共同点引用的包使用Repository注解继承JpaRepository接口接口的实体类的主键类型使用 Query()注解 Dao层的作用 负责与数据库进行交互，主要…...
接口测试入门：深入理解接口测试！
很多人会谈论接口测试。到底什么是接口测试？如何进行接口测试？这篇文章会帮到你。 一、前端和后端 在谈论接口测试之前，让我们先明确前端和后端这两个概念。 前端是我们在网页或移动应用程序中看到的页面，它由 HTML 和 CSS 编写…...