将输入模板化到 yaml 文件中——我需要做什么清理工作？
Templating input into a yaml file - what sanitization do I need to do?
我有一个通过模板语言（在本例中为 jinja2）生成的 yaml 文件。这是一个简单的片段：
services_to_install:
{% for service in services if service.install -%}
- {{ service.name }}
{% endfor -%}
user_data: |
#! /bin/bash
set -o errexit
/usr/local/bin/ansible-playbook -i 127.0.0.1, -c local /tmp/ansible/playbook.yml --extra-vars 'app={{ app }}'
我知道，例如，如果我让 service.name 包含一个换行符，它可能会从它应该在的列表中转义，并且可以编写任意的 yaml 语法。所以我限制换行。
但是，我不知道 "code injection" 可能存在的所有其他可能的滥用行为（即编写任意 yaml 语法）。撇开可能在运行时创建对象的语言特定标签不谈，我还需要注意哪些其他事项？
换句话说，如何清理模板化 yaml 文件的输入，就像清理模板化 html 文件的输入一样？
p.s。我没有嫁给一个或另一个模板引擎，我对 yaml 语法更感兴趣。
EDIT 在我的示例中添加了一个块元素，因为我也使用它们。
最安全的做法是编写一个过滤器，对字符串进行转义并将其放在双引号中。 Here 是 YAML double-quoted 标量样式中转义序列的完整列表。
话虽如此，如果您想将其写成普通（即不带引号的）标量，让我们看看禁止的内容：
不能开始普通标量的字符
某些字符不能作为普通标量的开始，因此不能出现在开头。这些称为 indicator characters，包括：
- flow-style 指标 (
,, [, ], {, })
- 引号标量的引号（
'、"）
- 用于开始标记、锚点或别名的字符（
!、&、*）
- 评论指标（
#）
- 指令指标 (
%)
- 保留字符（
@、`）
- block-style 指标（
|、>、?、:、-）。但是，?、: 和 - 是允许的 如果它们后面没有空格 。
结束普通标量的字符
普通标量启动后，允许使用大多数字符。但是，一些字符将标记普通标量的结尾：
- flow-style 指标 (
,, [, ], {, }), 但仅如果你是流动风格.
- 映射键指示符（
:）如果后跟空格。
- 注释指示器 (
#) 如果前面有空格。
- 换行符 如果下 non-empty 行的缩进小于当前缩进 。
请注意，虽然可以在标量中包含换行符（如果正确处理缩进），但这些换行符会受到 line folding 的约束，因此，您需要先对原始值应用转换如果您希望它被解析为相同的值，请使用此样式。
完全禁止的字符组合
在文档中，字符序列 --- 和 ... 可能永远不会出现 在行的开头 （它们在其他地方都很好）因为它们表示当前文档的结尾，也可能是新文档的开始。
结论
普通标量没有转义机制，因此在它们可以表示的字符串方面受到限制。 Double-quoted 标量是唯一能够表示所有可能字符串的表示，因此是您想要的。
选择将字符串表示为普通标量还是带引号的标量通常是 YAML 实现的任务，因为决策制定很复杂并且有很多注意事项。如果您使用模板引擎生成 YAML，您可能无法访问所有信息来做出该决定——例如，当前缩进、状态（flow-style vs block-style）等。因此，为了安全起见，使用过滤器转义特殊字符并使用 double-quoted 样式。
我有一个通过模板语言（在本例中为 jinja2）生成的 yaml 文件。这是一个简单的片段：
services_to_install:
{% for service in services if service.install -%}
- {{ service.name }}
{% endfor -%}
user_data: |
#! /bin/bash
set -o errexit
/usr/local/bin/ansible-playbook -i 127.0.0.1, -c local /tmp/ansible/playbook.yml --extra-vars 'app={{ app }}'
我知道，例如，如果我让 service.name 包含一个换行符，它可能会从它应该在的列表中转义，并且可以编写任意的 yaml 语法。所以我限制换行。
但是，我不知道 "code injection" 可能存在的所有其他可能的滥用行为（即编写任意 yaml 语法）。撇开可能在运行时创建对象的语言特定标签不谈，我还需要注意哪些其他事项？
换句话说，如何清理模板化 yaml 文件的输入，就像清理模板化 html 文件的输入一样？
p.s。我没有嫁给一个或另一个模板引擎，我对 yaml 语法更感兴趣。
EDIT 在我的示例中添加了一个块元素，因为我也使用它们。
最安全的做法是编写一个过滤器，对字符串进行转义并将其放在双引号中。 Here 是 YAML double-quoted 标量样式中转义序列的完整列表。
话虽如此，如果您想将其写成普通（即不带引号的）标量，让我们看看禁止的内容：
不能开始普通标量的字符
某些字符不能作为普通标量的开始，因此不能出现在开头。这些称为 indicator characters，包括：
- flow-style 指标 (
,,[,],{,}) - 引号标量的引号（
'、"） - 用于开始标记、锚点或别名的字符（
!、&、*） - 评论指标（
#） - 指令指标 (
%) - 保留字符（
@、`） - block-style 指标（
|、>、?、:、-）。但是，?、:和-是允许的 如果它们后面没有空格 。
结束普通标量的字符
普通标量启动后，允许使用大多数字符。但是，一些字符将标记普通标量的结尾：
- flow-style 指标 (
,,[,],{,}), 但仅如果你是流动风格. - 映射键指示符（
:）如果后跟空格。 - 注释指示器 (
#) 如果前面有空格。 - 换行符 如果下 non-empty 行的缩进小于当前缩进 。
请注意，虽然可以在标量中包含换行符（如果正确处理缩进），但这些换行符会受到 line folding 的约束，因此，您需要先对原始值应用转换如果您希望它被解析为相同的值，请使用此样式。
完全禁止的字符组合
在文档中，字符序列 --- 和 ... 可能永远不会出现 在行的开头 （它们在其他地方都很好）因为它们表示当前文档的结尾，也可能是新文档的开始。
结论
普通标量没有转义机制，因此在它们可以表示的字符串方面受到限制。 Double-quoted 标量是唯一能够表示所有可能字符串的表示，因此是您想要的。
选择将字符串表示为普通标量还是带引号的标量通常是 YAML 实现的任务，因为决策制定很复杂并且有很多注意事项。如果您使用模板引擎生成 YAML，您可能无法访问所有信息来做出该决定——例如，当前缩进、状态（flow-style vs block-style）等。因此，为了安全起见，使用过滤器转义特殊字符并使用 double-quoted 样式。