PyYAML yaml.load（input）弃用

本页说明了对PyYAML 5.1不推荐使用的纯yaml.load(input)函数。请参阅脚注。

不建议使用不指定参数 PyYAML的yaml.load功能。在PyYAML 5.1版中，您会收到警告，但是该功能仍然可以使用。请参阅下面的如何禁用警告。Loader=…

在PyYAML 5.1之前，PyYAML.load可以轻松利用该函数来调用任何Python函数。这意味着它可以使用调用任何系统命令os.system()。这是一个简单的示例：

python -c ‘import yaml; yaml.load("!!python/object/new:os.system [echo EXPLOIT!]")’
为什么不建议这样做？
load自2006年5月发布第一个版本以来，PyYAML的功能就一直是不安全的。它始终以粗体形式记录：PyYAMLDocumentation。PyYAML始终提供了无需safe_load加载即可加载YAML 子集的功能。

去年，CVE遭到了PyYAML的起诉，因为load即使有意设计和记录PyYAML从一开始就可以使用该功能，却可以利用该功能在不受信任的输入上利用CVE。CVE似乎建议默认情况下load使用safe_load。由于safe_load仅处理YAML的一个子集，并且PyYAML十多年来一直是非常流行的Python软件包，因此此更改不可行。

YAML是交叉编程语言，数据序列化语言。PyYAML是YAML的实现，它为Python提供了人类友好的（纯文本）数据序列化。Pickle是Python的本机（二进制）数据序列化格式。泡菜也是不安全的，因此需要大声记录。PyYAML的作者故意使其与Pickle兼容。

由于load不能破坏向后调用的兼容性safe_load，因此PyYAML的维护者决定简单地弃用的常规用法load，并要求用户有意声明所需的Loader。有4种装载机可供选择。见下文…

通过禁止默认加载程序（FullLoader）执行任意功能，该load函数也更加安全。

如何禁用警告
如果仅使用发出“ load（）弃用”警告的Python软件，则应将其通知该软件的作者，以便他们进行和发布适当的调整。控制/禁用警告的一种方法是使用PYTHONWARNINGS环境变量：

PYTHONWARNINGS=ignore::yaml.YAMLLoadWarning
您可以PYTHONWARNINGS 在此处了解更多信息。

如果您是触发警告的Python代码的作者/维护者，则停止获取警告的最佳方法是Loader=像这样指定参数：

yaml.load(input, Loader=yaml.FullLoader)
当前的Loader选择是：

BaseLoader

仅加载最基本的YAML

SafeLoader

安全地加载YAML语言的子集。建议加载不可信的输入。

FullLoader

加载完整的YAML语言。避免执行任意代码。当前（PyYAML 5.1）是yaml.load(input)（在发出警告之后）调用的默认加载程序。

UnsafeLoader（也要求Loader向后兼容）

不受信任的数据输入可以轻易利用的原始Loader代码。

您也可以使用一种快捷的“糖”方法：

yaml.safe_load
yaml.full_load
yaml.unsafe_load
如果您是使用触发此警告的第三方模块的软件的作者/维护者，请首先确保对您的应用程序安全使用它们。确保他们知道警告。然后，您可以使用以下命令“全局”禁用警告：

yaml.warnings({‘YAMLLoadWarning’: False})
脚注
该页面将保持最新，有关load()弃用，用法和警告的最新信息。

警告消息指向https://msg.pyyaml.org/load，依次将您重定向到此处。