yaml - 将输入模板化到 yaml 文件中——我需要做什么清理工作？

Question

我有一个通过模板语言(在本例中为 jinja2)生成的 yaml 文件。这是一个简单的片段:

services_to_install:
  {% for service in services if service.install -%}
  - {{ service.name }}
  {% endfor -%}
user_data: |
  #! /bin/bash
  set -o errexit
  /usr/local/bin/ansible-playbook -i 127.0.0.1, -c local /tmp/ansible/playbook.yml --extra-vars 'app={{ app }}'

我知道，例如，如果我让 service.name 包含一个换行符，它可能会从它应该位于的列表中转义，并且可以编写任意 yaml 语法。所以我限制换行。

但是，我不知道所有其他可能存在的“代码注入(inject)”滥用(即编写任意 yaml 语法)。撇开可能在运行时创建对象的语言特定标签不谈，我还需要注意哪些其他事项？

换句话说，如何清理模板化 yaml 文件的输入，就像清理模板化 html 文件的输入一样？

附注我没有嫁给一个或另一个模板引擎，我对 yaml 语法更感兴趣。

EDIT 在我的示例中添加了一个 block 元素，因为我也使用它们。

Answer 1

最安全的做法是编写一个过滤器，对字符串进行转义并将其放在双引号中。 Here是 YAML 双引号标量样式的转义序列的完整列表。

话虽如此，如果您想将其写成普通(即不带引号的)标量，让我们看看什么是被禁止的:

不能作为普通标量开始的字符

某些字符可能不会开始普通标量，因此不能出现在开头。这些被称为 indicator characters并包括:

• 流式指标(,、[、]、{、})
• 开始标量的引号('，")
• 用于开始标记、 anchor 或别名的字符(!、&、*)
• 评论指标(#)
• 指令指标 ( % )
• 保留字符 ( @ , ` )
• block 状指示器(|、>、?、:、-)。然而，? , :和 -允许如果它们后面没有空格。

结束普通标量的字符

一旦普通标量启动，大多数字符都是允许的。但是，一些字符将标记普通标量的结尾:

• 流式指标(,、[、]、{、})，但前提是您处于流式样式。
• 映射键指示符 ( :) 如果后跟空格。
• 评论指示器 ( # ) 如果前面有空格。
• 换行符如果下一个非空行的缩进小于当前缩进。

请注意，虽然可以在标量中包含换行符(如果正确处理了缩进)，但它们受制于 line folding。因此，如果您希望将其解析为相同的值，则需要在使用此样式之前对原始值应用转换。

完全禁止的字符组合

在文档中，字符序列 ---和 ...可能永远不会出现在行的开头(它们在其他任何地方都很好)因为它们表示当前文档的结尾并且可能是新文档的开始。

结论

普通标量没有转义机制，因此在它们可以表示的字符串方面受到限制。双引号标量是唯一能够表示所有可能字符串的表示形式，因此是您想要的。

选择是将字符串表示为普通标量还是带引号的标量通常是 YAML 实现的任务，因为决策制定很复杂并且有很多注意事项。如果您使用模板引擎生成 YAML，您可能无法访问所有信息来做出该决定——例如，当前缩进、状态(流式与 block 式)等。因此，为了安全起见，请使用过滤器转义特殊字符并使用双引号样式。