tomllib.load()必须传二进制文件对象，因TOML规范要求字节流解析以避免编码歧义；其类型检查严格，传文本模式文件会直接TypeError报错，连解析逻辑都不执行。
open(..., "rb")，不能用文本模式；不支持写入；不受信任的输入要限长。
为什么 tomllib.load() 一定要传二进制文件对象？
因为 TOML 规范要求解析器以字节流方式处理内容，避免编码歧义。Python 3.11 的 tomllib.load() 类型检查非常严格：传入文本模式打开的文件（比如 open("config.toml", "r")）会直接抛出 TypeError: expected a bytes-like object, or an object with a read() method returning bytes。
即使你加了 encoding="utf-8"，也救不回来——tomllib 根本不接受该参数。错误发生在类型校验阶段，连解析逻辑都进不去。
- ✅ 正确写法：
with open("config.toml", "rb") as f: data = tomllib.load(f) - ❌ 错误写法：
open("config.toml", "r", encoding="utf-8")、open("config.toml", "r") - ⚠️ 注意：
tomllib.loads()接收的是str，不是bytes，别和load()混用
如何兼容 Python ≤3.10 和 ≥3.11？
tomllib 在 3.10 及以下版本完全不存在，硬 import 就是 ModuleNotFoundError。没有自动降级机制，只能手动 fallback。
推荐用 try/except + 统一 alias，但要注意两个关键点：
立即学习“Python免费学习笔记（深入）”；
仅使用 Python 将 Claw Code 虚拟化框架与 OpenClaw 集成，提供 184 种工具和 200 多条命令，用于安全分析和代码质量...
- 第三方库要用
tomli（不是toml），安装命令是pip install tomli -
tomli支持parse_float参数，而标准库tomllib虽然也带这个参数，但它的行为在部分旧版tomli中可能不一致；如果你代码里用了parse_float=decimal.Decimal，降级后务必验证是否真生效 - 别写
import tomli as tomllib后又调tomllib.dump()——它俩都不支持写入
示例兼容写法：
try:
import tomllib
except ModuleNotFoundError:
import tomli as tomllib
解析不受信任的 TOML 输入时，有哪些实际风险？
tomllib 对恶意构造的输入缺乏内置防护。一个超长或深度嵌套的数组/表、大量重复键、超大浮点数字字符串，都可能导致解析器吃光内存或卡死 CPU。
这不是理论风险——已有公开 PoC 利用 [[[...]]] 嵌套千层触发 OOM。生产环境必须做两件事：
- 限制输入长度：读取文件前先
os.stat().st_size检查，或对字符串做len(toml_str) < 1024*1024判断 - 避免直接解析网络请求体、用户上传文件、CLI 参数等未过滤来源
- 不要以为“只是配置文件”就安全——TOML 允许任意键名、任意嵌套层级、任意长度字符串，攻击面比 JSON 更隐蔽
解析后得到的 datetime 或 float 类型，为什么后续序列化常报错？
tomllib 严格按 TOML 1.0.0 规范映射类型：时间戳变成 datetime.datetime，浮点数默认走 float()。这本身没错，但容易在下游环节踩坑：
- 直接
json.dumps(data)会报TypeError: Object of type datetime is not JSON serializable，因为 JSON 不认识datetime - 用
decimal.Decimal当parse_float时，返回值是Decimal，但若后续代码假设它是float（比如传给math.sqrt()），会出TypeError - 数组里的混合类型（如
[1, "a", true]）被转成 Pythonlist没问题，但若下游期望全是数字，就得自己做类型校验
真正容易被忽略的是：这些不是 tomllib 的 bug，而是它「不做任何人性化转换」的设计选择。你需要在解析后、使用前，明确做类型断言或转换，而不是指望库替你兜底。
