Dancer2 2.2.1 发布安全更新，建议升级。此前 YAML 序列化器直接将请求体交给 YAML::Load，攻击者可用 !!perl/hash 或 !!perl/code 标签实例化任意对象或执行字符串 eval，现已明确拒绝。即使用户未配置 YAML，Serializer::Mutable 也会将 text/x-yaml 和 text/html 映射到该序列化器，仍可能受影响。最低 YAML 版本升至 1.30，并声明所需 CLI::Osprey 0.09。