Ruby 中是否有与 yaml.safe_load 等价的东西？答案

【问题标题】：Is there an equivalent to yaml.safe_load in Ruby?Ruby 中是否有与 yaml.safe_load 等价的东西？
【发布时间】：2012-12-30 04:32:32
【问题描述】：

high-profile security vulnerability in Rails 最近阐明了在 Ruby 应用程序中解析用户提供的 YAML 的潜在危险。

快速的 Google 搜索显示，Python's YAML library 包含一个 safe_load 方法，该方法只会反序列化“简单的 Python 对象，如整数或列表”，而不是任意类型的对象。

Ruby 有等价物吗？有什么方法可以在 Ruby 应用程序中安全地接受 YAML 输入，而无需手动编写自定义解析器？

【问题讨论】：

【解决方案1】：

在Jim's advice 之后，我继续写了safe_yaml，这是一个添加YAML.safe_load 方法并在内部使用Psych 来完成繁重工作的gem。

【讨论】：

【解决方案2】：

使用Psych（实际的解析器引擎）的低级接口，可以访问低级结构，而无需将它们序列化回Ruby 对象（参见http://rubydoc.info/stdlib/psych/Psych/Parser）。这不像safe_load 那样简单，但它确实提供了实现它的途径。

在Syck 和Psych 中可能还有其他选项可以使用，并且更直接，例如safe_load。

【讨论】：