Как десериализовать объект с помощью PyYAML с использованием safe_load?

Question

Имея такой фрагмент:

import yaml
class User(object):
    def __init__(self, name, surname):
       self.name= name
       self.surname= surname

user = User('spam', 'eggs')
serialized_user = yaml.dump(user)
#Network
deserialized_user = yaml.load(serialized_user)
print "name: %s, sname: %s" % (deserialized_user.name, deserialized_user.surname)

Документация Yaml говорит, что небезопасно вызывать yaml.load с любыми данными, полученными из ненадежного источника; Итак, что я должен изменить в моем фрагменте \ классе, чтобы использовать метод safe_load?
Является ли это возможным?

Answer 1

Похоже, что safe_load по определению не позволяет десериализовать ваши собственные классы. Если вы хотите, чтобы это было безопасно, я бы сделал что-то вроде этого:

import yaml
class User(object):
    def __init__(self, name, surname):
       self.name= name
       self.surname= surname

    def yaml(self):
       return yaml.dump(self.__dict__)

    @staticmethod
    def load(data):
       values = yaml.safe_load(data)
       return User(values["name"], values["surname"])

user = User('spam', 'eggs')
serialized_user = user.yaml()
print "serialized_user:  %s" % serialized_user.strip()

#Network
deserialized_user = User.load(serialized_user)
print "name: %s, sname: %s" % (deserialized_user.name, deserialized_user.surname)

Преимущество здесь в том, что вы имеете абсолютный контроль над тем, как ваш класс (де) сериализуется. Это означает, что вы не получите случайный исполняемый код по сети и не запустите его. Недостатком является то, что у вас есть абсолютный контроль над тем, как ваш класс (де) сериализуется. Это означает, что вы должны сделать гораздо больше работы.;-)

Answer 2

Другой способ существует. Из документов PyYaml:

Объект python может быть помечен как безопасный и, следовательно, может быть распознан yaml.safe_load. Для этого извлеките его из yaml.YAMLObject [...] и явно установите его свойство класса yaml_loader в yaml.SafeLoader.

Вы также должны установить свойство yaml_tag, чтобы оно работало.

YAMLObject использует магию метаклассов, чтобы сделать объект загружаемым. Обратите внимание, что если вы сделаете это, объекты будут загружаться только безопасным загрузчиком, а не обычным yaml.load().

Рабочий пример:

import yaml

class User(yaml.YAMLObject):
    yaml_loader = yaml.SafeLoader
    yaml_tag = u'!User'

    def __init__(self, name, surname):
       self.name= name
       self.surname= surname

user = User('spam', 'eggs')
serialized_user = yaml.dump(user)

#Network

deserialized_user = yaml.safe_load(serialized_user)
print "name: %s, sname: %s" % (deserialized_user.name, deserialized_user.surname)

Преимущество этого в том, что его очень легко сделать; недостатки в том, что он работает только с safe_load и загромождает ваш класс связанными с сериализацией атрибутами и метаклассом.

Answer 3

Если у вас много тегов и вы не хотите создавать объекты для всех из них, или если вас не интересует фактический возвращаемый тип, а только пунктирный доступ, вы перехватываете все неопределенные теги с помощью следующего кода:

import yaml

class Blob(object):
    def update(self, kw):
        for k in kw:
            setattr(self, k, kw[k])

from yaml.constructor import SafeConstructor

def my_construct_undefined(self, node):
    data = Blob()
    yield data
    value = self.construct_mapping(node)
    data.update(value)

SafeConstructor.add_constructor(None, my_construct_undefined)


class User(object):
    def __init__(self, name, surname):
        self.name= name
        self.surname= surname

user = User('spam', 'eggs')
serialized_user = yaml.dump(user)
#Network
deserialized_user = yaml.safe_load(serialized_user)
print "name: %s, sname: %s" % (deserialized_user.name, deserialized_user.surname)

Если вам интересно, почему my_construct_undefined имеет yield в середине: это позволяет создавать экземпляр объекта отдельно от создания его потомков. Как только объект существует, на него можно ссылаться, если у него есть привязка, а у дочерних элементов (или их дочерних элементов) есть ссылка. Фактический механизм создания объекта сначала создает его, затем выполняет next(x) на это, чтобы завершить это.