如何安全解析含 YAML 锚点与别名的配置文件,避免无限递归

落浩姑娘_4152

落浩姑娘_4152

2026-04-06

803人浏览

原创

如何安全解析含 YAML 锚点与别名的配置文件,避免无限递归

本文详解在使用 SnakeYAML 解析含锚点(&id)和别名(*id)的 YAML 文件时,因循环引用导致的无限递归问题,并提供健壮、可复用的 Configuration 类构造逻辑来主动规避该风险。

本文详解在使用 snakeyaml 解析含锚点(`&id`)和别名(`*id`)的 yaml 文件时,因循环引用导致的无限递归问题,并提供健壮、可复用的 configuration 类构造逻辑来主动规避该风险。

YAML 支持锚点(&id)和别名(*id)机制,用于复用数据结构,提升配置可维护性。但当别名指向自身或其父级结构时(如 minerate-full-mined: *id001 指向根锚点 &id001),SnakeYAML 在反序列化过程中会生成自引用 Map 对象(例如打印为 {playername: SomeName, lang: fr_FR, minerate-full-mined=(This Map)}),若业务代码未加防护,在递归构建嵌套 Configuration 实例时极易触发栈溢出或死循环。

根本原因在于:SnakeYAML 默认将别名解析为对同一 Java 对象的引用,而你的 Configuration 构造函数在遇到 instanceof Map 时无条件递归实例化,未检测该 Map 是否已指向当前或祖先对象。

✅ 正确做法不是禁用别名解析,而是在构造阶段主动识别并跳过自引用节点。推荐采用字符串特征检测 + 引用隔离双保险策略:

public Configuration(File file, Map, ?> map, Configuration defaults) {
    this.file = file;
    this.self = new LinkedHashMap();
    this.defaults = defaults;

    for (Map.Entry, ?> entry : map.entrySet()) {
        String key = (entry.getKey() == null) ? "null" : entry.getKey().toString();
        Object value = entry.getValue();

        // ✅ 关键防护:检测 SnakeYAML 生成的自引用字符串标识
        if (value instanceof Map && isSelfReference(value, key)) {
            continue; // 跳过自引用字段,避免递归入口
        }

        if (value instanceof Map) {
            Configuration nextDef = (defaults == null) ? null : defaults.getSection(key);
            // 防止默认配置链中出现闭环(如 defaults == this)
            this.self.put(key, new Configuration(file, (Map, ?>) value,
                (nextDef == this) ? null : nextDef));
        } else {
            this.self.put(key, value);
        }
    }
}

// 辅助方法:基于 toString() 特征识别自引用(SnakeYAML 标准行为)
private boolean isSelfReference(Object obj, String key) {
    if (!(obj instanceof Map)) return false;
    String str = obj.toString();
    return str.contains(key + "=(This Map)") || 
           str.contains(key + "=(This Collection)");
}

⚠️ 注意事项:

  • toString() 检测是 SnakeYAML 的稳定行为(v1.33+ 均保持 (This Map) 格式),但属间接判断;更严谨方案可结合 IdentityHashMap 追踪已处理对象引用(适用于深度嵌套场景);
  • 不应修改 Representer 或 DumperOptions 来“绕过”问题——锚点/别名是 YAML 合法语义,需正向兼容;
  • 若需保留别名字段的原始语义(如运行时动态解析),建议将 *id 字段暂存为 String 类型(如 "*id001"),延迟至访问时按需解析,而非在构造期强制展开。

总结:处理 YAML 循环引用的核心原则是「延迟展开、显式防护、语义保留」。通过在 Configuration 构造器中植入轻量级自引用检测,即可彻底规避无限递归,同时保持对标准 YAML 特性的完全兼容。

PHP速学视频免费教程(入门到精通)
PHP速学视频免费教程(入门到精通)

PHP怎么学习?PHP怎么入门?PHP在哪学?PHP怎么学才快?不用担心,这里为大家提供了PHP速学教程(入门到精通),有需要的小伙伴保存下载就能学习啦!

下载

相关标签:

本站声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn

相关专题

更多
string转int
string转int

在编程中,我们经常会遇到需要将字符串(str)转换为整数(int)的情况。这可能是因为我们需要对字符串进行数值计算,或者需要将用户输入的字符串转换为整数进行处理。php中文网给大家带来了相关的教程以及文章,欢迎大家前来学习阅读。

2023.08.02

6179

3

js 字符串转数组
js 字符串转数组

js字符串转数组的方法:1、使用“split()”方法;2、使用“Array.from()”方法;3、使用for循环遍历;4、使用“Array.split()”方法。本专题为大家提供js字符串转数组的相关的文章、下载、课程内容,供大家免费下载体验。

2023.08.03

1718

5

js截取字符串的方法
js截取字符串的方法

js截取字符串的方法有substring()方法、substr()方法、slice()方法、split()方法和slice()方法。本专题为大家提供字符串相关的文章、下载、课程内容,供大家免费下载体验。

2023.09.04

2624

5

java基础知识汇总
java基础知识汇总

java基础知识有Java的历史和特点、Java的开发环境、Java的基本数据类型、变量和常量、运算符和表达式、控制语句、数组和字符串等等知识点。想要知道更多关于java基础知识的朋友,请阅读本专题下面的的有关文章,欢迎大家来php中文网学习。

2023.10.24

6024

49

字符串介绍
字符串介绍

字符串是一种数据类型,它可以是任何文本,包括字母、数字、符号等。字符串可以由不同的字符组成,例如空格、标点符号、数字等。在编程中,字符串通常用引号括起来,如单引号、双引号或反引号。想了解更多字符串的相关内容,可以阅读本专题下面的文章。

2023.11.24

5549

6

java读取文件转成字符串的方法
java读取文件转成字符串的方法

Java8引入了新的文件I/O API,使用java.nio.file.Files类读取文件内容更加方便。对于较旧版本的Java,可以使用java.io.FileReader和java.io.BufferedReader来读取文件。在这些方法中,你需要将文件路径替换为你的实际文件路径,并且可能需要处理可能的IOException异常。想了解更多java的相关内容,可以阅读本专题下面的文章。

2024.03.22

7214

16

php中定义字符串的方式
php中定义字符串的方式

php中定义字符串的方式:单引号;双引号;heredoc语法等等。想了解更多字符串的相关内容,可以阅读本专题下面的文章。

2024.04.29

10394

11

go语言字符串相关教程
go语言字符串相关教程

本专题整合了go语言字符串相关教程,阅读专题下面的文章了解更多详细内容。

2025.07.29

5319

17

c++字符串相关教程
c++字符串相关教程

本专题整合了c++字符串相关教程,阅读专题下面的文章了解更多详细内容。

2025.08.07

5727

13

热门下载

更多
网站特效
/
网站源码
/
网站素材
/
前端模板

精品课程

更多
热门推荐
/
最新课程
phpStudy极速入门视频教程
phpStudy极速入门视频教程

共6课时 | 54.7万人学习

独孤九贱(4)_PHP视频教程
独孤九贱(4)_PHP视频教程

共89课时 | 133.7万人学习