YAML 从入门到精通：语法、结构、问题和应用场景

如果你觉得 XML 太繁琐，JSON 嵌套多了又看得眼花缭乱，那么 YAML 一定会让你眼前一亮。它的设计初衷就是：让人类能像读小说一样读代码。

在现代 DevOps 和云原生架构中，YAML（YAML Ain't Markup Language）已经渗透到了每一个角落：从 Kubernetes 的资源定义到 GitHub Actions 的工作流，再到各类应用的配置文件。

虽然 YAML 以其极高的人类可读性著称，但在看似简洁的缩进背后，隐藏着复杂的数据模型、类型推断机制以及一些极具杀伤力的“坑”。本篇文章将带你深入 YAML 的底层，探索它的高级特性与潜在风险。

---

1. YAML 是什么？

YAML（YAML Ain't Markup Language）是一种以人类可读性为核心的数据序列化标准，自2001年诞生以来，已演进至最新版本1.2.2（2021年10月发布）。YAML的设计哲学是“最小惊喜原则”（Principle of Least Astonishment），通过缩进、注释和灵活语法，提供远超JSON和XML的可读性。它支持复杂数据结构、复用机制和自定义类型，成为配置管理领域的霸主。

它最大的特点是：不使用尖括号（XML）或花括号（JSON），而是通过缩进来表示层级关系。

---

2. YAML 的基础语法

YAML的核心语法遵守如下规则：

1. 缩进敏感：使用空格（不推荐Tab），一致缩进表示层次。
2. 键值对：key: value（冒号后有空格）。
3. 序列：用- （破折号+空格）表示列表项。
4. 字符串：无需引号（除特殊情况），支持单引号'和双引号"。
5. 注释：用#开头。
6. 多文档：用---分隔多个YAML文档，...结束。
7. 锚点与别名：&anchor定义，*anchor引用，实现复用。

---

3. 核心结构解析

YAML 的底层逻辑是由三种基本的节点类型构建而成的。理解这三者，你就理解了所有复杂配置的本质：

1. 标量 (Scalars)：最基础的数据单元（如字符串、数字、布尔值）。
2. 序列 (Sequences)：有序的列表(List)，对应 JSON 的数组（Array）。
3. 映射 (Mappings)：键值对集合，对应 JSON 的对象（Object）。

YAML的键值对、列表、对象介绍：

(1) 键值对 (Key-Value)

使用冒号加空格来分隔键和值。注意：冒号后面必须有一个空格！

YAML

name: 极客小明
age: 18
is_hero: true

(2) 列表 (List)

使用短横线 - 开头，后面也要跟一个空格。

YAML

skills:
  - Python
  - Docker
  - Kubernetes

(3) 对象嵌套 (Object)

通过缩进来体现归属关系，非常直观。

YAML

database:
  host: 127.0.0.1
  port: 3306
  user: root

---

4. YAML的高级特性：锚点与别名

在编写大型配置文件（如几千行的 K8s 定义）时，重复的内容会导致维护极其困难。YAML 提供了锚点 (&) 和 别名 (*) 来实现数据的重用。

• & (Anchor)：标记一个节点。
• *** (Alias)**：引用已标记的节点。
• << (Merge Key)：将标记的节点内容合并到当前映射中。

YAML

# 定义一个公共配置模版
base_config: &base
  adapter: postgres
  host: localhost

# 重用并覆盖部分内容
development:
  <<: *base
  database: dev_db

test:
  <<: *base
  database: test_db

---

5. 文本块处理的精妙之处

多行字符串：两种块标量样式。

• 字面式（Literal，|）：保留换行和缩进。
• 折叠式（Folded，>）：将换行折叠为空格，适合长文本。
• 显式类型标签（Tags）：YAML支持丰富核心类型（int、float、bool、null、timestamp、binary等），并允许自定义。

YAML 处理多行字符串的能力远超 JSON。通过块缩放指示符，你可以精准控制换行符：

符号	名称	效果
**`	`**	文字块 (Literal)
>	折叠块 (Folded)	将换行符转换为空格（仅在段落间保留空行）。
+ / -	剪裁指示符	`

---

---

6. 类型推断与“挪威问题” (The Norway Problem)

YAML 是强类型的，但它通过复杂的规则进行自动类型推断。这种灵活性有时会演变成灾难，最著名的案例就是“挪威问题”。

在 YAML 1.1 规范中，y/Y/n/N/yes/Yes/no/No 都会被自动识别为布尔值。

• 场景：你定义了一个国家代码列表：[US, UK, NO]。
• 结果：解析器会将 NO 识别为 false，导致程序逻辑崩溃。

深度提示：在现代 YAML 1.2 中，这个范围已被缩小，但为了安全，强建议对所有的字符串值使用引号（如 "NO"），以避免被解析器误解。

---

7. 安全性预警：任意代码执行

YAML 的功能非常强大，它甚至支持自定义标签 (Tags)。例如在 Python 的 PyYAML 库中，可以使用 !!python/object/apply:os.system 这样的标签。

如果你的系统接受用户上传的 YAML 文件并直接解析：

• 风险：黑客可以构造恶意的 YAML，在你的服务器上执行任意系统命令。
• 对策：在代码中永远使用安全加载函数（如 yaml.safe_load()），它禁用了自定义标签解析。

---

8. 选型对比：YAML vs. TOML vs. JSON

维度	YAML	JSON	TOML
核心用途	复杂配置、容器编排	数据传输 (API)	简单配置文件 (Rust/Go)
复杂度	高 (规范极其庞大)	低 (极其简单)	中 (扁平化键值对)
注释支持	完美支持	不支持	完美支持
层级表达	缩进 (视觉直观)	括号 (容易混乱)	[section] 语法 (适合浅层)

---

9. 局限与最佳实践

• 局限：缩进错误易导致解析失败；挪威问题（Norway问题：如"NO"被解析为false，已在1.2修复）。
• 最佳实践：统一2空格缩进、使用锚点复用、避免深层嵌套、结合JSON Schema验证YAML。

YAML的应用场景

• 配置文件：Docker Compose、Kubernetes manifests、GitLab CI、Helm charts。
• DevOps工具：Ansible playbook、GitHub Actions workflow。
• 数据序列化：日志配置、应用设置。

需要生成随机YAML数据，请访问： 在线yaml随机生成工具

---

10. 总结

YAML 是一门“视觉系”的语言。它牺牲了一点点解析性能，换取了极致的人类阅读体验。只要你管好你的空格键，YAML 就会是你最得力的助手。