SnakeYaml反序列化

发布时间：2026/7/27 14:13:53

SnakeYaml反序列化

SnakeYaml反序列化

Yaml规范

yaml对象

对象键值对使用冒号结构表示 key: value，冒号后面要加一个空格。

也可以使用 key:{key1: value1, key2: value2, ...}

还可以使用缩进表示层级关系:

key: child-key: valuechild-key2: value2

yaml数组

以 - 开头的行表示构成一个数组：

- A
- B
- C

一个相对复杂的例子：

companies:-id: 1name: company1price: 200W-id: 2name: company2price: 500W

上面的例子中, companies是一个数组, 它有两个元素, 每个元素又有三个属性

数组也可以使用流式(flow)的方式表示：

companies: [{id: 1,name: company1,price: 200W},{id: 2,name: company2,price: 500W}]

这样看起来更直观

复合结构

数组和对象可以构成复合结构，例：

languages:- Ruby- Perl- Python 
websites:YAML: yaml.org Ruby: ruby-lang.org Python: python.org Perl: use.perl.org

纯量

纯量是最基本的，不可再分的值，包括：

  • 字符串
  • 布尔值
  • 整数
  • 浮点数
  • Null
  • 时间
  • 日期
    例子:
boolean: - TRUE  #true,True都可以- FALSE  #false，False都可以
float:- 3.14- 6.8523015e+5  #可以使用科学计数法
int:- 123- 0b1010_0111_0100_1010_1110    #二进制表示
null:nodeName: 'node'parent: ~  #使用~表示null
string:- 哈哈- 'Hello world'  #可以使用双引号或者单引号包裹特殊字符- newlinenewline2    #字符串可以拆成多行，每一行会被转化成一个空格
date:- 2018-02-17    #日期必须使用ISO 8601格式，即yyyy-MM-dd
datetime: -  2018-02-17T15:02:31+08:00    #时间使用ISO 8601格式，时间和日期之间使用T连接，最后使用+代表时区

引用

& 锚点和 * 别名，可以用来引用：

defaults: &defaultsadapter:  postgreshost:     localhostdevelopment:database: myapp_development<<: *defaultstest:database: myapp_test<<: *defaults

& 用来建立锚点（defaults），<< 表示合并到当前数据，* 用来引用锚点。

上面的例子相当于

defaults:adapter:  postgreshost:     localhostdevelopment:database: myapp_developmentadapter:  postgreshost:     localhosttest:database: myapp_testadapter:  postgreshost:     localhost

参考链接：

https://www.runoob.com/w3cnote/yaml-intro.html

SnakeYaml库使用

  • Yaml.load():将yaml数据反序列化成一个Java对象
  • Yaml.dump():将Java对象序列化成yaml

导入依赖

<dependency><groupId>org.yaml</groupId><artifactId>snakeyaml</artifactId><version>1.27</version>
</dependency>

被序列化的类
Person.java

package org.n4c1.unserial;  public class Person {  private String username;  private int age;  public Person() {}  public Person(String username, int age) {  this.username = username;  this.age = age;  }  public int getAge() {  System.out.println("getAge方法调用");  return age;  }  public String getUsername() {  System.out.println("getUsername方法调用");  return username;  }  public void setAge(int age) {  System.out.println("setAge方法调用");  this.age = age;  }  public void setUsername(String username) {  System.out.println("setUsername方法调用");  this.username = username;  }  
}

demo 测试序列化

package org.n4c1.unserial;  import org.yaml.snakeyaml.Yaml;  public class testYaml {  public static void main(String[] args) {  Yaml yaml = new Yaml();  Person person = new Person("n4c1", 20);  String str = yaml.dump(person);  System.out.println(str);  }  
}

输出结果

getAge方法调用
getUsername方法调用
!!org.n4c1.unserial.Person {age: 20, username: n4c1}

demo 测试反序列化

package org.n4c1.unserial;  import org.yaml.snakeyaml.Yaml;  public class testYaml {  public static void main(String[] args) {  Yaml yaml = new Yaml();  Person person = new Person("n4c1", 20);  String str = yaml.dump(person);  System.out.println(str);  String yamlStr = "!!org.n4c1.unserial.Person {age: 20, username: n4c1}";  Person person2 = (Person) yaml.load(yamlStr);  System.out.println(person2.getUsername());  }  
}

输出

getAge方法调用
getUsername方法调用
!!org.n4c1.unserial.Person {age: 20, username: n4c1}setAge方法调用
setUsername方法调用
getUsername方法调用
n4c1

调试分析

snakeYaml的解析可以说是以节点为基础
假如有以下yaml文档

person:name: "张三"age: 30hobbies:- 读书- 健身- 编程

词法分析器会逐个token解析出各个节点, 拆分出来各个节点对应:

  • 整个文档的根节点

    • 节点类型: 映射 (Mapping)。

    • 代表: 整个文档的顶层结构。

    • 说明: 这个节点包含一个键值对，键是 person，值是它下面的整个结构。

  • name 节点

    • 节点类型: 标量 (Scalar)。

    • 代表: 一个单一的值。

    • 说明: 这是一个键值对中的 值，其值为 "张三"。它是一个字符串。

  • age 节点

    • 节点类型: 标量 (Scalar)。

    • 代表: 一个单一的值。

    • 说明: 它的值为 30，一个整数。

  • hobbies 节点

    • 节点类型: 序列 (Sequence)。

    • 代表: 一个有序的列表。

    • 说明: 它的值是下面的三个项目，它包含了三个子节点。

  • hobbies 下的子节点

    • 节点类型: 标量 (Scalar)。

    • 代表: 序列中的每一个项。

    • 说明: 这三个节点分别是 "读书"、"健身" 和 "编程"，它们都是独立的字符串标量。

当反序列化我们的字符串时

String yamlStr = "!!org.n4c1.unserial.Person {age: 20, username: n4c1}";

根节点就是org.n4c1.unserial.Person它的值就是花括号中代表的内容, 其中又有age节点和username节点

再load方法打上断点分析

image.png
跟进到loadFromReader方法

它会实例化了一个composer, 并放在constructor中, 通过constructor来构建对象

Composer 是 SnakeYAML 的核心组件之一，它的职责是将 YAML 事件流（由 Parser 生成）合成为一个单一的、完整的 YAML 节点图（node graph）。

Construct会根据这些节点的类型和内容，把它们组装成一个你想要的 Java 对象。比如，它会把一个 映射节点 变成一个 Java Map 对象，或者一个自定义的类对象

image.png

在getSingleData方法中可以看见首先由composer获取了一个MappingNode, 描述的是该yaml文档的整体结构(node graph)
image.png

constructDocument根据文档结构, 还原对象
image.png

这里constructedObjects应该是类似缓存, 先从这里获取, 如果没有则创建
image.png
跟进constructObjectNoCheck
image.png

获取构造器
image.png

这里MappingNode的tag其实是tag:yaml.org,2002:org.n4c1.unserial.Person, 默认yaml是没有这个构造器的, 直接返回了一个 {Constructor$ConstructYamlObject@1306} 构造器, 之后用这个构造器取还原类

这里会进入ConstructYamlObject这个构造器的consructor方法
image.png
跟进
image.png

getClassForNode方法会反射获取我们节点的class
image.png

调用的是这个方法, 传入类名, 返回类的class, 然后把class存在node的type属性
image.png

之后回去看construct方法
image.png
有一步Constructor.this.newInstance(mnode), 这个newInstance方法是这个snakeYaml类自己实现的, 里面具体逻辑主要就是用刚刚反射得到的class,反射获取构造器, 实例出对象

之后这里的constructJavaBean2ndStep方法就是给对象的属性进行反序列化然后赋值,

image.png

首先flattenMapping对对象进行展平, 主要包括了处理重复的键 和 处理合并键（<<）。
image.png

先看processDuplicateKeys方法
这个实际上是实例出键, 利用tuple去重, 可以看见调用了constructObject来构建对象
image.png
之后调用了对象的hashCode方法,

这里就出现了一个攻击面, hashCode方法可以触发到cc链等一些链子

后面的逻辑大概还是和去重有关, 不用管
image.png
flattenMapping结束后回到constructJavaBean2ndStep方法

protected Object constructJavaBean2ndStep(MappingNode node, Object object) {  flattenMapping(node);  Class<? extends Object> beanType = node.getType();  List<NodeTuple> nodeValue = node.getValue();  for (NodeTuple tuple : nodeValue) {  ScalarNode keyNode;  if (tuple.getKeyNode() instanceof ScalarNode) {  // key must be scalar  keyNode = (ScalarNode) tuple.getKeyNode();  } else {  throw new YAMLException(  "Keys must be scalars but found: " + tuple.getKeyNode());  }  Node valueNode = tuple.getValueNode();  // keys can only be Strings  keyNode.setType(String.class);  String key = (String) constructObject(keyNode);  try {  TypeDescription memberDescription = typeDefinitions.get(beanType);  Property property = memberDescription == null ? getProperty(beanType, key)  : memberDescription.getProperty(key);  if (!property.isWritable()) {  throw new YAMLException("No writable property '" + key + "' on class: "  + beanType.getName());  }  valueNode.setType(property.getType());  final boolean typeDetected = (memberDescription != null)  ? memberDescription.setupPropertyType(key, valueNode)  : false;  if (!typeDetected && valueNode.getNodeId() != NodeId.scalar) {  // only if there is no explicit TypeDescription  Class<?>[] arguments = property.getActualTypeArguments();  if (arguments != null && arguments.length > 0) {  // type safe (generic) collection may contain the  // proper class                    if (valueNode.getNodeId() == NodeId.sequence) {  Class<?> t = arguments[0];  SequenceNode snode = (SequenceNode) valueNode;  snode.setListType(t);  } else if (Set.class.isAssignableFrom(valueNode.getType())) {  Class<?> t = arguments[0];  MappingNode mnode = (MappingNode) valueNode;  mnode.setOnlyKeyType(t);  mnode.setUseClassConstructor(true);  } else if (Map.class.isAssignableFrom(valueNode.getType())) {  Class<?> keyType = arguments[0];  Class<?> valueType = arguments[1];  MappingNode mnode = (MappingNode) valueNode;  mnode.setTypes(keyType, valueType);  mnode.setUseClassConstructor(true);  }  }  }  Object value = (memberDescription != null)  ? newInstance(memberDescription, key, valueNode)  : constructObject(valueNode);  // Correct when the property expects float but double was  // constructed            if (property.getType() == Float.TYPE || property.getType() == Float.class) {  if (value instanceof Double) {  value = ((Double) value).floatValue();  }  }  // Correct when the property a String but the value is binary  if (property.getType() == String.class && Tag.BINARY.equals(valueNode.getTag())  && value instanceof byte[]) {  value = new String((byte[]) value);  }  if (memberDescription == null  || !memberDescription.setProperty(object, key, value)) {  property.set(object, value);  }  } catch (DuplicateKeyException e) {  throw e;  } catch (Exception e) {  throw new ConstructorException(  "Cannot create property=" + key + " for JavaBean=" + object,  node.getStartMark(), e.getMessage(), valueNode.getStartMark(), e);  }  }  return object;  
}

image.png

可以看见又使用constructObject对键进行了构造, 之后获取JavaBean的property, 把value构造出来放进去, 依然是使用constructObject方法
最后将value set进去
image.png

两个问题

  1. property如何被获取的
  2. property.set内部如何给属性赋值的

这个property是org.yaml.snakeyaml.introspector.MethodProperty类型

set方法
image.png
发现内部包装的是一个PropertyDescriptor

跟进getWriteMethod方法,

image.png

this.writeMethodRef已经存在这个set方法

搜索this.writeMethodRef.set, 发现有setWriteMethod, 打上断点
image.png

重新运行, 强制运行到此处, 可以看到调用栈是这样的

setWriteMethod:321, PropertyDescriptor (java.beans)
<init>:161, PropertyDescriptor (java.beans)
getTargetPropertyInfo:522, Introspector (java.beans)
getBeanInfo:428, Introspector (java.beans)
getBeanInfo:173, Introspector (java.beans)
getPropertiesMap:83, PropertyUtils (org.yaml.snakeyaml.introspector)
getProperty:152, PropertyUtils (org.yaml.snakeyaml.introspector)
getProperty:148, PropertyUtils (org.yaml.snakeyaml.introspector)
getProperty:309, Constructor$ConstructMapping (org.yaml.snakeyaml.constructor)
constructJavaBean2ndStep:230, Constructor$ConstructMapping (org.yaml.snakeyaml.constructor)
construct:171, Constructor$ConstructMapping (org.yaml.snakeyaml.constructor)
construct:331, Constructor$ConstructYamlObject (org.yaml.snakeyaml.constructor)
constructObjectNoCheck:229, BaseConstructor (org.yaml.snakeyaml.constructor)
constructObject:219, BaseConstructor (org.yaml.snakeyaml.constructor)
constructDocument:173, BaseConstructor (org.yaml.snakeyaml.constructor)
getSingleData:157, BaseConstructor (org.yaml.snakeyaml.constructor)
loadFromReader:490, Yaml (org.yaml.snakeyaml)
load:416, Yaml (org.yaml.snakeyaml)
main:13, testYaml (org.n4c1.unserial)

可以看见是getProperty的时候就set了
image.png

相关新闻

2025年8月8日

2025年8月8日

今日学习了如何制作荤菜

2026/7/27 14:43:56
Ubuntu24.04安装mlpack库

Ubuntu24.04安装mlpack库

系统：Ubuntu24.04 github：https://github.com/mlpack/mlpack 官方：https://www.mlpack.org/doc/user/install.html https://www.youtube.com/watch?v=wcEFce7IaS8通过包管理器安装（不是最新版本） sudo apt update sudo apt-get install libmlpack-dev sudo apt-get insta…

2026/7/26 14:40:51
学习率衰减的 epoch 数

学习率衰减的 epoch 数

学习率衰减（Learning Rate Decay）是一种在训练过程中动态调整学习率的策略，旨在提高模型的训练效率和收敛性能。通过在训练过程中逐渐减小学习率，可以使模型在训练初期快速收敛，并在训练后期更精细地调整参数，从而提高模型的最终性能。 1. 学习率衰减的常见策略 1.1 逐步…

2026/7/26 5:49:50

最新新闻

OpCore Simplify终极指南：5分钟创建专业级黑苹果EFI配置的完整教程

OpCore Simplify终极指南：5分钟创建专业级黑苹果EFI配置的完整教程

OpCore Simplify终极指南&#xff1a;5分钟创建专业级黑苹果EFI配置的完整教程 【免费下载链接】OpCore-Simplify A tool designed to simplify the creation of OpenCore EFI 项目地址: https://gitcode.com/GitHub_Trending/op/OpCore-Simplify 还在为黑苹果安装的复杂…

2026/7/27 15:24:17
企业私域商城系统选型指南：自研架构、源码私有化部署方案详解

企业私域商城系统选型指南：自研架构、源码私有化部署方案详解

一、前言 随着私域流量运营成为企业数字化转型核心抓手&#xff0c;小程序商城、多级分销平台、经销商订货系统、本地生活核销系统的市场需求持续爆发。 大量企业在自主搭建线上经营平台时&#xff0c;普遍遭遇外包开发、系统高并发崩溃、数据归属平台、分销模式违规封号、售后…

2026/7/27 15:24:17
终极指南：如何在5分钟内为《纪元1800》创建你的第一个游戏模组

终极指南：如何在5分钟内为《纪元1800》创建你的第一个游戏模组

终极指南&#xff1a;如何在5分钟内为《纪元1800》创建你的第一个游戏模组 【免费下载链接】anno1800-mod-loader The one and only mod loader for Anno 1800, supports loading of unpacked RDA files, XML merging and Python mods. 项目地址: https://gitcode.com/gh_mir…

2026/7/27 15:24:17
【长文本AI写作黄金标准】：基于1786篇实测样本验证的5维质量评估模型（含开源评分工具）

【长文本AI写作黄金标准】：基于1786篇实测样本验证的5维质量评估模型（含开源评分工具）

更多请点击&#xff1a; https://intelliparadigm.com 第一章&#xff1a;【长文本AI写作黄金标准】&#xff1a;基于1786篇实测样本验证的5维质量评估模型&#xff08;含开源评分工具&#xff09; 传统AI写作评估常陷于主观打分或单一指标&#xff08;如BLEU、ROUGE&#xff…

2026/7/27 15:24:17
NomNom终极指南：No Man‘s Sky存档编辑器完全使用手册

NomNom终极指南：No Man‘s Sky存档编辑器完全使用手册

NomNom终极指南&#xff1a;No Mans Sky存档编辑器完全使用手册 【免费下载链接】NomNom NomNom is the most complete savegame editor for NMS but also shows additional information around the data youre about to change. You can also easily look up each item indivi…

2026/7/27 15:24:17
排水板配套土工布品牌厂家完整版推荐 - 排水板厂家

排水板配套土工布品牌厂家完整版推荐 - 排水板厂家

首选佳美新材料有限公司，以下 5 家泰安土工产业集群全产业链源头工厂，同步自产 HDPE 排水板 + 专用长丝土工布，既可单独供应国标土工布，也可在线热熔一体生产自带布复合排水板，适配车库顶板虹吸、种植屋面、隧道、…

2026/7/27 15:23:43

日新闻

SolidWorks许可证预测优化：数据驱动降本增效

SolidWorks许可证预测优化：数据驱动降本增效

1. 项目背景与核心价值在工业设计领域&#xff0c;SolidWorks作为三维CAD软件的标杆产品&#xff0c;其许可证管理一直是企业IT成本管控的痛点。某中型制造企业曾因许可证短缺导致项目延期&#xff0c;而另一家则因过度采购造成每年近20万元的资源浪费——这正是我们开发这套预…

2026/7/27 0:00:07
OpenClaw开源智能体网关：AI助手与即时通讯的完美融合

OpenClaw开源智能体网关：AI助手与即时通讯的完美融合

1. 项目概述&#xff1a;当AI助手遇上即时通讯上周在调试一个自动化工作流时&#xff0c;我突然意识到&#xff1a;如果能把AI助手直接集成到日常使用的聊天软件里&#xff0c;很多重复性工作就能在对话中一键完成。这个想法促使我找到了OpenClaw——一个开源的智能体网关项目&…

2026/7/27 0:00:43
【JAVA毕设源码分享】基于SpringBoot的社区智能垃圾管理系统的设计与实现(程序+文档+代码讲解+一条龙定制)

【JAVA毕设源码分享】基于SpringBoot的社区智能垃圾管理系统的设计与实现(程序+文档+代码讲解+一条龙定制)

博主介绍&#xff1a;✌️码农一枚 &#xff0c;专注于大学生项目实战开发、讲解和毕业&#x1f6a2;文撰写修改等。全栈领域优质创作者&#xff0c;博客之星、掘金/华为云/阿里云/InfoQ等平台优质作者、专注于Java、小程序技术领域和毕业项目实战 ✌️技术范围&#xff1a;&am…

2026/7/27 0:00:53

周新闻

Apex英雄目标检测数据集 深度学习框架YOLO如何训练APEX数据集

Apex英雄目标检测数据集 深度学习框架YOLO如何训练APEX数据集

Apex检测数据集数据集详情检测类别&#xff1a; allies enemy tag图片总量&#xff1a;7247张训练集&#xff1a;5139张验证集&#xff1a;1425张测试集&#xff1a;683张标注状态&#xff1a;全部已标注&#xff0c;即拿即用数据格式&#xff1a;支持YOLO格式及其他格式&#…

2026/7/27 7:47:45
智慧飞行 大疆无人机一站式智能管控平台/支持大疆机场/私有化部署 从航线规划、自动飞行、AI识别到数据管理，一个平台全搞定

智慧飞行 大疆无人机一站式智能管控平台/支持大疆机场/私有化部署 从航线规划、自动飞行、AI识别到数据管理，一个平台全搞定

智慧飞行-大疆无人机一站式智能管控平台/支持大疆机场/私有化部署 企业级全域智能无人机一体化管控平台源码&#xff01; 专为电力巡检、安防监控、应急救援、测绘勘察等行业打造&#xff0c;让您的无人机舰队实现 “无人化、自动化、智能化” 管理&#xff01; &#x1f3af; …

2026/7/27 5:35:46
揭秘ChatGPT+Mathematica协同教学：为什么92%的初学者在72小时内建立函数直觉？

揭秘ChatGPT+Mathematica协同教学：为什么92%的初学者在72小时内建立函数直觉？

更多请点击&#xff1a; https://codechina.net 第一章&#xff1a;AI帮助理解数学概念 人工智能正以前所未有的方式重塑数学学习的路径。通过自然语言处理与符号计算的深度融合&#xff0c;AI不仅能解析抽象定义&#xff0c;还能将定理、证明和几何直觉转化为可交互、可验证的…

2026/7/27 7:47:48

月新闻

[C++]内存管理：串顺序存储的内存回收

[C++]内存管理：串顺序存储的内存回收

在串&#xff08;字符串&#xff09;的顺序存储中&#xff0c;内存回收的方式取决于字符串的存储方式以及所使用的编程语言和相关库。以下以 C 为例进行说明&#xff0c;因为 C 对内存管理有较为直接的控制。 1. 基于 char 数组的串顺序存储 如果使用普通的 char 数组来存储字…

2026/7/26 21:51:47
移动端游戏功耗测试实战：电流、功率、亮度和场景对比

移动端游戏功耗测试实战：电流、功率、亮度和场景对比

移动端游戏功耗测试：先控制变量，再比较优化是否真的省电 摘要：功耗测试最容易犯的错误，是拿两次不同温度、不同亮度、不同场景的平均功率直接比较。本文给出一套可复现的游戏功耗测试方法，覆盖引擎特性验证、版本回归和黑盒体验测试，并说明如何把功耗与帧率、温控、CPU/G…

2026/7/27 1:01:39
足球口袋教练 HarmonyOS 离线应用实战（03/20）：ArkUI 首页仪表盘搭建

足球口袋教练 HarmonyOS 离线应用实战（03/20）：ArkUI 首页仪表盘搭建

本文是“足球口袋教练 HarmonyOS 离线应用实战”系列第 3 篇。示例项目是一个 HarmonyOS / ArkTS / ArkUI 编写的离线足球训练助手&#xff0c;围绕真实页面、真实截图和可复现操作展开。 本篇要解决的问题 训练 App 的首页不能只展示欢迎语&#xff0c;它要解决“我现在该点哪…

2026/7/27 9:28:36