如何在Python中处理yaml.load()引发的YAMLError安全性异常？-Python教程-PHP中文网

必须用yaml.safe_load()替代yaml.load()，因后者默认调用fullloader，可执行!!python/object等恶意标签导致任意代码执行；safe_load()仅支持基础类型，从根本上杜绝反序列化漏洞。

如何在python中处理yaml.load()引发的yamlerror安全性异常？

为什么不能直接用 `yaml.load()` 读取不受信的 YAML 数据

因为 yaml.load() 默认使用 Loader=FullLoader（旧版是 Loader=UnsafeLoader），会执行任意 Python 对象构造，包括 !!python/object:os.system 这类危险标签。只要传入恶意字符串，就可能触发命令执行、文件读取等漏洞。

常见错误现象：YAMLError 没捕获到，但程序已静默执行了 shell 命令；或捕获了异常却仍用了不安全的加载方式。

永远不要对用户输入、网络响应、配置文件（除非 100% 确认来源可信）调用 yaml.load()
PyYAML ≥ 5.1 已默认禁用 load() 的 unsafe 行为，但显式指定 Loader 仍可能绕过保护
即使加了 try/except YAMLError，也不能掩盖加载器本身不安全的事实

应该用 `yaml.safe_load()` 替代 `yaml.load()`

safe_load() 只支持 YAML 标准核心类型（str, int, list, dict, bool, null），拒绝所有自定义标签和对象构造，从根本上杜绝反序列化漏洞。

使用场景：解析配置文件、CI/CD 参数、API 返回的 YAML 内容、任何可能含不可信数据的输入。

替换写法：yaml.load(data, Loader=yaml.Loader) → 改成 yaml.safe_load(data)
safe_load() 也会抛出 YAMLError（比如格式错误），所以仍需 try/except 处理语法问题
它不支持 !!python/tuple 或 !include 这类扩展语法——这正是你想要的“限制”

import yaml
<p>try:
config = yaml.safe_load(user_input)
except yaml.YAMLError as e:
print(f"YAML 解析失败：{e}")
config = None</p>

需要自定义类型时，必须显式注册 SafeLoader 的子类

如果业务确实要支持 !secret 或 !env 这类安全标签（即非 Python 执行，只是简单替换），不能退回到 FullLoader，而应继承 yaml.SafeLoader 并只添加可控的构造逻辑。

参数差异：SafeLoader 允许重载 construct_mapping / construct_scalar，但禁止重载 construct_python_* 相关方法。

python学习

Python 编程学习助手 skill，面向零基础用户。当用户表达以下意图时触发： - 学习 Python 基础概念（变量、数据类型、循环、函数、类等） - 请求 Python 练习题或测验 - 请求审查或调试 Python 代码 - 请求 Python 项目实战指导（爬虫、数据分析、Web 开发等入门项目） - 泛化表述如"教我 Python""我想学编程""Python 怎么写""帮我学 Python" 此 skill

下载

错误做法：用 yaml.load(data, Loader=yaml.FullLoader) 或 yaml.CLoader（C 版本也不安全）
正确做法：子类化 yaml.SafeLoader，用 add_constructor() 注册白名单标签
每个自定义构造器必须做输入校验，不能拼接或执行外部数据

class ConfigLoader(yaml.SafeLoader):
    pass
<p>def construct_env(loader, node):
value = loader.construct<em>scalar(node)
return os.getenv(value, f"MISSING</em>{value}")</p><p>ConfigLoader.add_constructor('!env', construct_env)</p><h1>使用</h1><p>yaml.load(data, Loader=ConfigLoader)  # ✅ 安全且可控</p>