新的 PyYAML 版本会破坏大多数自定义 python 对象 - RepresenterError

大约5小时前，版本4.1.0被释放了。它破坏了我的单元测试。这是一个干净的 MVCE，显示了这一点：

3.12版本：

>>> import numpy as np
>>> import yaml
>>> x = np.int64(2)
>>> yaml.dump(x, Dumper=yaml.Dumper)
'!!python/object/apply:numpy.core.multiarray.scalar\n- !!python/object/apply:numpy.dtype\n  args: [i8, 0, 1]\n  state: !!python/tuple [3, <, null, null, null, -1, -1, 0]\n- !!binary |\n  AgAAAAAAAAA=\n'

版本4.1.0:

>>> import numpy as np
>>> import yaml
>>> x = np.int64(2)
>>> yaml.dump(x, Dumper=yaml.Dumper)
Traceback (most recent call last):
  File "<stdin>", line 1, in <module>
  File "/foo/anaconda3/envs/bar/lib/python3.6/site-packages/yaml/__init__.py", line 217, in dump
    return dump_all([data], stream, Dumper=Dumper, **kwds)
  File "/foo/anaconda3/envs/bar/lib/python3.6/site-packages/yaml/__init__.py", line 196, in dump_all
    dumper.represent(data)
  File "/foo/anaconda3/envs/bar/lib/python3.6/site-packages/yaml/representer.py", line 26, in represent
    node = self.represent_data(data)
  File "/foo/anaconda3/envs/bar/lib/python3.6/site-packages/yaml/representer.py", line 57, in represent_data
    node = self.yaml_representers[None](self, data)
  File "/foo/anaconda3/envs/bar/lib/python3.6/site-packages/yaml/representer.py", line 229, in represent_undefined
    raise RepresenterError("cannot represent an object", data)
yaml.representer.RepresenterError: ('cannot represent an object', 2)

有明确的理由吗PyYAML不再支持这些对象类型？

4.x 中的重大更改是尝试解决CVE-2017-18342，这是对不受信任的输入执行任意代码的可能性。

在 PyYAML 4.x 中，dump是一个别名safe_dump，它不会处理任意对象：

>>> yaml.dump is yaml.safe_dump
True

Use danger_dump对于旧的 3.x 行为。

>>> yaml.danger_dump(x)
'!!python/object/apply:numpy.core.multiarray.scalar\n- !!python/object/apply:numpy.dtype\n  args: [i8, 0, 1]\n  state: !!python/tuple [3, <, null, null, null, -1, -1, 0]\n- !!binary |\n  AgAAAAAAAAA=\n'

同样适用于load/safe_load。找不到 4.1.0 的任何文档或发行说明，我只是通过挖掘提交才发现的（here).

PyYAML 不再支持这些对象类型有明确的原因吗？

Yes. yaml.load允许任意代码执行，这样一个危险的功能只能选择加入，不可能意外使用。按理说，从一开始就应该是这样的。

在当前的 PyYAML 5.x 中：您可以指定 loader/dumper 类作为参数，而不是使用不同的函数：

yaml.dump(x, Dumper=yaml.Dumper)      # like "danger dump"
yaml.dump(x, Dumper=yaml.SafeDumper)  # like "safe_dump", won't dump python objs

与 3.x 一样，“危险”转储仍然是 5.x 中的默认值：

>>> yaml.dump(sys)
"!!python/module:sys ''\n"
>>> yaml.dump(sys, Dumper=yaml.SafeDumper)
RepresenterError: ('cannot represent an object', <module 'sys' (built-in)>)