linux下yaml编辑工具,YAML：可能并不是那么完美

我之前写过为什么将 JSON 用于人类可编辑的配置文件是一个坏主意，今天我们将讨论 YAML 格式的一些常见问题。

默认情况下不安全

YAML 默认是不安全的。加载用户提供的(不可信的)YAML 字符串需要仔细考虑。

!!python/object/apply:os.system

args: ['ls /']

用 print(yaml.load(open('a.yaml'))) 运行它，应该给你这样的东西：

bin   etc   lib    lost+found  opt   root  sbin  tmp  var sys

boot  dev   efi    home        lib64 mnt   proc  run  srv usr

0

许多其他语言(包括 Ruby 和 PHP 1 )默认情况下也不安全(LCTT 译注：这里应该说的是解析 yaml)。在 GitHub 上搜索 yaml.load 会得到惊人的 280 万个结果，而 yaml.safe_load 只能得到 26000 个结果。

提个醒，很多这样的 yaml.load() 都工作的很好，在配置文件中加载 yaml.load() 通常没问题，因为它通常(虽然并不总是！)来自“可靠源”，而且很多都来自静态的 YAML 测试文件。但是，人们还是不禁怀疑在这 280 万个结果中隐藏了多少漏洞。

有人可能会反驳说这不是 YAML 格式的错误，而是那些库实现错误的的问题，但似乎大多数库默认不是安全的(特别是动态语言)，所以事实上这是 YAML 的一个问题。

有些人可能会反驳认为修复它就像用 safe_load() 替换 load() 一样容易，但是很多人都没有意识到这个问题，即使你知道它，它也是很容易忘记的事情之一。这是非常糟糕的 API 设计。

可能很难编辑，特别是对于大文件

YAML 文件可能很难编辑，随着文件变大，这个难度会快速增大。

一个很好的例子是 Ruby on Rails 的本地化翻译文件。例如：

en:

formtastic:

labels:

title: "Title"  # Default global value

article:

body: &#