如何安全解析含 YAML 锚点与别名的配置文件(避免无限递归)

浅丽君_8672

浅丽君_8672

2026-04-06

492人浏览

原创

如何安全解析含 YAML 锚点与别名的配置文件(避免无限递归)

本文介绍在使用 SnakeYAML 解析含锚点(&id)和别名(*id)的 YAML 文件时,因循环引用导致无限递归的问题,并提供基于运行时检测与跳过自引用 Map 的稳健解决方案。

本文介绍在使用 snakeyaml 解析含锚点(`&id`)和别名(`*id`)的 yaml 文件时,因循环引用导致无限递归的问题,并提供基于运行时检测与跳过自引用 map 的稳健解决方案。

在 YAML 中,锚点(&id001)与别名(*id001)是实现数据复用的重要机制,但当别名指向包含自身的结构(如 minerate-full-mined: *id001 指向根节点)时,若解析逻辑未做循环保护,极易触发无限递归——尤其在自定义 Configuration 类采用嵌套构造方式逐层解析 Map 时,entry.getValue().toString() 显式暴露 (this Map) 提示,正是 SnakeYAML 内部为标记循环引用所注入的诊断字符串。

上述问题的根本原因在于:SnakeYAML 在遇到循环引用时,不会抛出异常,而是返回一个“代理 Map”(其 toString() 输出形如 "playername=SomeName, lang=fr_FR, minerate-full-mined=(this Map)"),而原始构造逻辑未识别该信号,继续递归调用 new Configuration(...),最终栈溢出。

✅ 正确做法是:在构造 Configuration 实例前,主动检测 entry.getValue().toString() 是否包含 (this Map) 或 (this Collection) 标识,并跳过该条目:

public Configuration(File file, Map, ?> map, Configuration defaults) {
    this.file = file;
    this.self = new LinkedHashMap();
    this.defaults = defaults;

    for (Map.Entry, ?> entry : map.entrySet()) {
        String key = (entry.getKey() == null) ? "null" : entry.getKey().toString();
        Object value = entry.getValue();

        if (value instanceof Map) {
            // ✅ 关键防护:检测 SnakeYAML 循环引用代理对象
            String repr = value.toString();
            if (repr.contains(key + "=(this Map)") || repr.contains(key + "=(this Collection)")) {
                // 跳过自引用字段,避免递归;可选:记录警告日志
                continue;
            }

            Configuration nextDef = (defaults == null) ? null : defaults.getSection(key);
            // 额外防护:避免将自身作为默认值传入子节点(防止间接循环)
            this.self.put(key, new Configuration(file, (Map, ?>) value, 
                nextDef == this ? null : nextDef));
        } else {
            this.self.put(key, value);
        }
    }
}

⚠️ 注意事项:

  • 该方案依赖 toString() 的内部实现,虽在 SnakeYAML 1.20+ 版本中稳定可靠,但仍建议在关键生产环境补充单元测试验证;
  • 更健壮的替代方案是改用 SafeConstructor + 自定义 Construct 实现,或升级至 SnakeYAML 2.x(支持 CycleDetectionStrategy),但需权衡迁移成本;
  • 对于必须保留循环字段的场景(如需反序列化后手动解引用),应改用 TypeDescription 显式声明类型,并配合 Constructor 处理循环引用。

总结:面对 YAML 循环引用,防御性解析优于事后修复。通过轻量级字符串检测跳过 (this Map) 字段,既兼容现有架构,又有效阻断无限递归,是 SnakeYAML 1.x 生产环境中经过验证的实用策略。

PHP速学视频免费教程(入门到精通)
PHP速学视频免费教程(入门到精通)

PHP怎么学习?PHP怎么入门?PHP在哪学?PHP怎么学才快?不用担心,这里为大家提供了PHP速学教程(入门到精通),有需要的小伙伴保存下载就能学习啦!

下载

相关标签:

本站声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn

相关专题

更多
java
java

Java是一个通用术语,用于表示Java软件及其组件,包括“Java运行时环境 (JRE)”、“Java虚拟机 (JVM)”以及“插件”。php中文网还为大家带了Java相关下载资源、相关课程以及相关文章等内容,供大家免费下载使用。

2023.06.15

10777

6

java正则表达式语法
java正则表达式语法

java正则表达式语法是一种模式匹配工具,它非常有用,可以在处理文本和字符串时快速地查找、替换、验证和提取特定的模式和数据。本专题提供java正则表达式语法的相关文章、下载和专题,供大家免费下载体验。

2023.07.05

7882

9

java自学难吗
java自学难吗

Java自学并不难。Java语言相对于其他一些编程语言而言,有着较为简洁和易读的语法,本专题为大家提供java自学难吗相关的文章,大家可以免费体验。

2023.07.31

6852

8

java配置jdk环境变量
java配置jdk环境变量

Java是一种广泛使用的高级编程语言,用于开发各种类型的应用程序。为了能够在计算机上正确运行和编译Java代码,需要正确配置Java Development Kit(JDK)环境变量。php中文网给大家带来了相关的教程以及文章,欢迎大家前来阅读学习。

2023.08.01

1164

3

java保留两位小数
java保留两位小数

Java是一种广泛应用于编程领域的高级编程语言。在Java中,保留两位小数是指在进行数值计算或输出时,限制小数部分只有两位有效数字,并将多余的位数进行四舍五入或截取。php中文网给大家带来了相关的教程以及文章,欢迎大家前来阅读学习。

2023.08.02

948

3

java基本数据类型
java基本数据类型

java基本数据类型有:1、byte;2、short;3、int;4、long;5、float;6、double;7、char;8、boolean。本专题为大家提供java基本数据类型的相关的文章、下载、课程内容,供大家免费下载体验。

2023.08.02

1396

5

java有什么用
java有什么用

java可以开发应用程序、移动应用、Web应用、企业级应用、嵌入式系统等方面。本专题为大家提供java有什么用的相关的文章、下载、课程内容,供大家免费下载体验。

2023.08.02

2829

5

java在线网站
java在线网站

Java在线网站是指提供Java编程学习、实践和交流平台的网络服务。近年来,随着Java语言在软件开发领域的广泛应用,越来越多的人对Java编程感兴趣,并希望能够通过在线网站来学习和提高自己的Java编程技能。php中文网给大家带来了相关的视频、教程以及文章,欢迎大家前来学习阅读和下载。

2023.08.03

20131

3

配置java环境变量
配置java环境变量

配置Java环境变量是为了让操作系统能够识别和使用Java的相关命令和功能。本专题为大家提供配置java环境变量相关文章,帮助大家解决问题。

2023.08.03

1255

8

热门下载

更多
网站特效
/
网站源码
/
网站素材
/
前端模板

精品课程

更多
热门推荐
/
最新课程
phpStudy极速入门视频教程
phpStudy极速入门视频教程

共6课时 | 54.7万人学习

独孤九贱(4)_PHP视频教程
独孤九贱(4)_PHP视频教程

共89课时 | 133.8万人学习