如何使用安全加载反序列化带有PyYAML的对象？

Question

有这样一个片段：

import yaml
class User(object):
    def __init__(self, name, surname):
       self.name= name
       self.surname= surname

user = User('spam', 'eggs')
serialized_user = yaml.dump(user)
#Network
deserialized_user = yaml.load(serialized_user)
print "name: %s, sname: %s" % (deserialized_user.name, deserialized_user.surname)

Yaml docs说，使用从不受信任的源接收的任何数据调用yaml.load是不安全的；那么，我应该修改我的snippet\class以使用safe\u load方法吗？
有可能吗？

Answer 1

另一种方式存在。来自PyYaml文档：

A python object can be marked as safe and thus be recognized by yaml.safe_load. To do this, derive it from yaml.YAMLObject [...] and explicitly set its class property yaml_loader to yaml.SafeLoader.

您还必须设置yaml_tag属性才能使其工作。

YAMLObject使用一些元类魔术使对象可加载。注意，如果这样做，对象将只能由安全加载程序加载，而不能使用常规的yaml.load（）加载。

工作示例：

import yaml

class User(yaml.YAMLObject):
    yaml_loader = yaml.SafeLoader
    yaml_tag = u'!User'

    def __init__(self, name, surname):
       self.name= name
       self.surname= surname

user = User('spam', 'eggs')
serialized_user = yaml.dump(user)

#Network

deserialized_user = yaml.safe_load(serialized_user)
print "name: %s, sname: %s" % (deserialized_user.name, deserialized_user.surname)

这个方法的优点是很容易实现；缺点是它只在安全加载的情况下工作，并且用序列化相关的属性和元类扰乱类。